Плагин Depicter — Popup & Slider Builder WordPress до версии 4.8.0 не проверяет тип файла, загруженного с помощью функции импорта, и не удаляет некорректную загрузку, позволяя пользователям с доступом на уровне редактора записывать произвольный файл (включая исполняемый PHP) в каталог, доступный через Интернет, что может привести к удаленному выполнению кода.
Показать оригинальное описание (EN)
The Depicter — Popup & Slider Builder WordPress plugin before 4.8.0 does not validate the type of a file uploaded through its import feature and does not remove a malformed upload, allowing users with editor-level access to write an arbitrary file (including executable PHP) into a web-accessible directory, which can lead to remote code execution.
Тип уязвимости (CWE)
Уязвимые продукты
unknown:depicter — popup & slider builder