Plateforme
wordpress
Composant
wc-purchase-orders
Corrigé dans
1.0.3
Une vulnérabilité d'accès arbitraire de fichier a été découverte dans le plugin Purchase Orders for WooCommerce pour WordPress. Cette faille, due à une validation insuffisante des chemins de fichiers dans la fonction delete_file(), permet à des attaquants authentifiés, avec un accès de niveau Subscriber ou supérieur, de supprimer des fichiers arbitraires sur le serveur. Les versions concernées sont 1.0.0 à 1.0.2 incluses. Une mise à jour vers une version corrigée est recommandée.
L'impact de cette vulnérabilité est significatif. Un attaquant authentifié peut exploiter cette faille pour supprimer des fichiers critiques du serveur WordPress, tels que wp-config.php. La suppression de ce fichier, ou d'autres fichiers de configuration sensibles, peut entraîner une exécution de code à distance (RCE), permettant à l'attaquant de prendre le contrôle complet du serveur. La possibilité de supprimer des fichiers arbitraires ouvre également la porte à d'autres attaques, comme la corruption de données ou la dégradation du service. Bien que l'accès initial nécessite un compte Subscriber, la gravité de l'impact potentiel justifie une attention immédiate.
Cette vulnérabilité a été rendue publique le 12 août 2025. Il n'y a pas d'indication d'une exploitation active à ce jour, mais la simplicité de l'exploitation potentielle rend cette vulnérabilité préoccupante. Aucun PoC public n'a été identifié à la date de cette analyse, mais la vulnérabilité est susceptible d'être ajoutée au KEV si une exploitation est confirmée. La sévérité CVSS de 8.1 (HIGH) reflète le potentiel d'impact significatif.
WordPress websites utilizing the Purchase Orders for WooCommerce plugin, particularly those running versions 1.0.0 through 1.0.2, are at significant risk. Shared hosting environments where users have limited control over plugin updates are especially vulnerable. Sites with weak password policies or compromised user accounts are also more susceptible to exploitation.
• wordpress / composer / npm:
grep -r "delete_file\(" /var/www/html/wp-content/plugins/purchase-orders-for-woocommerce/*• generic web:
curl -I https://your-wordpress-site.com/wp-content/plugins/purchase-orders-for-woocommerce/delete.php?file=/etc/passwd• wordpress / composer / npm:
wp plugin list --status=inactive | grep 'purchase-orders-for-woocommerce'disclosure
Statut de l'Exploit
EPSS
1.42% (percentile 80%)
CISA SSVC
Vecteur CVSS
La solution la plus efficace est de mettre à jour le plugin Purchase Orders for WooCommerce vers une version corrigée dès que possible. En attendant la mise à jour, des mesures d'atténuation peuvent être mises en place. Limitez les privilèges des utilisateurs avec un accès de niveau Subscriber. Surveillez attentivement les journaux du serveur pour détecter toute activité suspecte, notamment des tentatives de suppression de fichiers inhabituelles. Si possible, configurez un pare-feu d'application web (WAF) pour bloquer les requêtes malveillantes ciblant la fonction deletefile(). Vérifiez après la mise à jour que la fonction deletefile() est correctement sécurisée et que les chemins de fichiers sont correctement validés.
Actualice el plugin Purchase Orders for WooCommerce a la última versión disponible. Esta actualización aborda la vulnerabilidad de eliminación arbitraria de archivos al mejorar la validación de las rutas de los archivos, previniendo que atacantes con privilegios de suscriptor puedan eliminar archivos sensibles en el servidor.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2025-5391 is a vulnerability in the Purchase Orders for WooCommerce plugin allowing authenticated users to delete arbitrary files, potentially leading to remote code execution.
You are affected if you are using Purchase Orders for WooCommerce versions 1.0.0 through 1.0.2. Upgrade as soon as a patch is available.
Upgrade to a patched version of the plugin. Until a patch is released, implement temporary workarounds like restricting file upload permissions and using a WAF.
While no active exploitation has been confirmed, the vulnerability's simplicity suggests a high probability of exploitation.
Check the Purchase Orders for WooCommerce plugin's official website and WordPress plugin repository for updates and advisories.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.