CVE-2025-7846
Publiée le 2025-10-31 · Dernière modification le 2026-10-07
Les sites WordPress utilisant l'extension User Extra Fields (version 16.7 et versions antérieures) sont susceptibles de subir la suppression non autorisée de fichiers. Un attaquant disposant d'un compte basique, tel qu'un abonné, peut supprimer à distance n'importe quel fichier sur votre serveur, ce qui peut être utilisé pour faire planter le site ou déclencher l'exécution de code à distance en supprimant des fichiers de configuration critiques. Cela ne nécessite qu'une authentification de bas niveau et peut être exécuté via le réseau sans aucune interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The WordPress User Extra Fields plugin for WordPress is vulnerable to arbitrary file deletion due to insufficient file path validation in the save_fields() function in all versions up to, and including, 16.7. This makes it possible for authenticated attackers, with Subscriber-level access and above, to delete arbitrary files on the server, which can easily lead to remote code execution when the right file is deleted (such as wp-config.php).