FICHE CVE

CVE-2022-29451

Publiée le 2022-04-29 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les sites WordPress utilisant l'extension Rara One Click Demo Import (version 1.2.9 ou antérieure) sont vulnérables à une attaque par téléchargement de fichiers. Un attaquant peut inciter un administrateur connecté à cliquer sur un lien malveillant, ce qui permet à l'attaquant de télécharger des fichiers arbitraires — tels que des web shells — directement sur le serveur. Cela ne nécessite aucun privilège particulier de la part de l'attaquant, seulement qu'un utilisateur administrateur interagisse avec une requête forgée tout en étant authentifié.

CVSS 3.18.8 ÉLEVÉE

Type de faiblesse

Cross-site request forgery (CSRF) · CWE-352 Envoi de fichier non restreint · CWE-434

Publiée2022-04-29

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurRequise

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

Cross-Site Request Forgery (CSRF) leading to Arbitrary File Upload vulnerability in Rara One Click Demo Import plugin <= 1.2.9 on WordPress allows attackers to trick logged-in admin users into uploading dangerous files into /wp-content/uploads/ directory.