CVE-2025-9518
Publiée le 2025-09-04 · Dernière modification le 2026-06-17
Les sites WordPress utilisant l'extension atec Debug (version 1.2.22 et versions antérieures) sont vulnérables à la suppression arbitraire de fichiers. Un attaquant disposant de privilèges de niveau Administrateur peut supprimer n'importe quel fichier sur le serveur, ce qui peut entraîner une compromission complète du système si des fichiers de configuration critiques sont supprimés. Cette exploitation est facile à exécuter via le réseau, mais nécessite une authentification de haut niveau pour être réalisée.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The atec Debug plugin for WordPress is vulnerable to arbitrary file deletion due to insufficient file path validation on the 'debug_path' parameter in all versions up to, and including, 1.2.22. This makes it possible for authenticated attackers, with Administrator-level access and above, to delete arbitrary files on the server, which can easily lead to remote code execution when the right file is deleted (such as wp-config.php).