CVE-2025-11499
KrytyczneStreszczenie
Wtyczka Tablesome Table – Contact Form DB dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji set_featured_image_from_external_url() w wersjach do 1.1.32 włącznie. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer dotkniętej witryny.
Ocena ryzyka
Podatność ta może prowadzić do zdalnego wykonania kodu w konfiguracjach, gdzie nieautoryzowani użytkownicy mają możliwość dodawania obrazów wyróżniających. To stwarza poważne zagrożenie dla bezpieczeństwa serwera i danych organizacji.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, warto wdrożyć mechanizmy ograniczające możliwość przesyłania plików przez nieautoryzowanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The Tablesome Table – Contact Form DB – WPForms, CF7, Gravity, Forminator, Fluent plugin for WordPress is vulnerable to arbitrary file uploads due to missing file type validation in the set_featured_image_from_external_url() function in all versions up to, and including, 1.1.32. This makes it possible for unauthenticated attackers to upload arbitrary files on the affected site's server which may make remote code execution possible in configurations where unauthenticated users have been provided with a method for adding featured images, and the workflow trigger is created.