CVE-2025-6381
Publiée le 2025-06-28 · Dernière modification le 2026-06-17
Les sites WordPress utilisant l'extension BeeTeam368 Extensions (version 2.3.4 et versions antérieures) sont vulnérables à une faille de traversée de répertoire. Un attaquant disposant d'un compte basique — même avec le rôle d'Abonné — peut supprimer à distance des fichiers système critiques, tels que `wp-config.php`, ce qui peut mener à une prise de contrôle totale du site. Cette exploitation est facile à exécuter via un réseau et ne nécessite qu'une authentification avec des privilèges limités, sans aucune interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The BeeTeam368 Extensions plugin for WordPress is vulnerable to Directory Traversal in all versions up to, and including, 2.3.4 via the handle_remove_temp_file() function. This makes it possible for authenticated attackers, with Subscriber-level access and above, to perform actions on files outside of the originally intended directory. This vulnerability can be used to delete the wp-config.php file, which can be leveraged into a site takeover.