CVE-2025-8575
Publiée le 2025-09-12 · Dernière modification le 2026-06-17
Les sites WordPress utilisant l'extension LWS Cleaner (version 2.4.1.3 et antérieures) sont vulnérables à la suppression arbitraire de fichiers. Un attaquant disposant de privilèges d'administrateur peut supprimer à distance n'importe quel fichier sur le serveur, ce qui peut être utilisé pour faire planter le site ou obtenir une exécution complète de code à distance en supprimant des fichiers de configuration critiques. Cela nécessite une authentification de haut niveau, mais aucune interaction avec l'utilisateur, et peut être exécuté via le réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The LWS Cleaner plugin for WordPress is vulnerable to arbitrary file deletion due to insufficient file path validation in the 'lws_cl_delete_file' function in all versions up to, and including, 2.4.1.3. This makes it possible for authenticated attackers, with Administrator-level access and above, to delete arbitrary files on the server, which can easily lead to remote code execution when the right file is deleted (such as wp-config.php).