CVE-2025-8213
Publiée le 2025-07-31 · Dernière modification le 2026-06-17
Les sites WordPress utilisant la version 3.2.5 ou une version antérieure de l'extension NinjaScanner sont susceptibles de subir une suppression arbitraire de fichiers. Un attaquant disposant de privilèges d'administrateur peut supprimer n'importe quel fichier sur le serveur, y compris ceux situés en dehors du répertoire d'installation de WordPress. Il s'agit d'une attaque réseau qui nécessite une authentification de haut niveau, mais aucune interaction de l'utilisateur pour être exécutée.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The NinjaScanner – Virus & Malware scan plugin for WordPress is vulnerable to arbitrary file deletion due to insufficient file path validation in the 'nscan_ajax_quarantine' and 'nscan_quarantine_select' functions in all versions up to, and including, 3.2.5. This makes it possible for authenticated attackers, with Administrator-level access and above, to delete arbitrary files on the server, including files outside the WordPress root directory.