CVE-2025-0366

WordPress üçün olan Jupiter X Core plagini, 4.8.7 daxil olmaqla bütün versiyalarda get_svg() funksiyası vasitəsilə Yerli Faylların Daxiletməsi (Local File Inclusion) nəticəsində Uzaqdan Kodun İcrasına (Remote Code Execution) qarşı həssasdır. Bu, Kontribütor səviyyəli və daha yuxarı giriş hüququna malik autentifikasiya olunmuş hücumçulara serverdə ixtiyari faylları daxil etməyə və icra etməyə imkan verir ki, bu da həmin fayllardakı hər hansı PHP kodunun işlədilməsinə şərait yaradır. Bundan giriş nəzarətinin yan keçilməsi, həssas məlumatların əldə edilməsi və ya kodun icrası üçün istifadə edilə bilər. Konkret bu halda, hücumçu SVG yükləmələrinə icazə verən bir forma yarada, zərərli məzmunlu SVG faylı yükləyə və sonra uzaqdan kodun icrasını təmin etmək üçün həmin SVG faylını yazıya daxil edə bilər. Bu o deməkdir ki, standart olaraq kontribütor səviyyəli və daha yuxarı istifadəçi kimi uzaqdan kodun icrasını əldə etmək nisbətən asandır.