CVE-2025-11391
Mis à jour :
Faille dans le plugin WooCommerce : Risque d’exécution de code à distance
Une vulnérabilité critique (CVE-2025-11391) a été découverte dans le plugin PPOM – Product Addons & Custom Fields for WooCommerce pour WordPress. Cette faille permet à des attaquants non authentifiés d’envoyer des fichiers arbitraires sur le serveur d’un site affecté, contournant les validations de type de fichier dans la fonctionnalité de recadrage d’images.
Points Clés :
- Nature de la vulnérabilité : Téléchargement arbitraire de fichiers (Arbitrary File Upload).
- Cause : Absence de validation du type de fichier dans la fonction de recadrage d’images.
- Impact potentiel : Exécution de code à distance (Remote Code Execution) sur le système compromis.
- Découverte : Octobre 2025.
- Versions affectées : Toutes les versions du plugin jusqu’à la 33.0.15 incluse. Bien que le code vulnérable soit dans la version gratuite, elle affecte principalement les utilisateurs de la version payante.
Vulnérabilités :
- CVE-2025-11391 : Téléchargement arbitraire de fichiers.
Recommandations :
- Mettre à jour le plugin PPOM – Product Addons & Custom Fields for WooCommerce vers la version 33.0.16 ou ultérieure. Cette mise à jour a été publiée le 16 octobre 2025.