Drag and Drop Multiple File Upload for WooCommerce <= 1.1.6 - Unauthenticated Arbitrary File Upload via upload Function 漏洞信息(CVE-2025-4403)

一、漏洞 CVE-2025-4403 基础信息

漏洞信息

                                        # WooCommerce 拖放文件上传漏洞

## 漏洞概述
Drag and Drop Multiple File Upload for WooCommerce插件在WordPress中存在任意文件上传漏洞，该漏洞影响所有版本直至1.1.6。攻击者可以通过上传任意文件来实现远程代码执行。

## 影响版本
- 版本：1.1.6 及以下版本

## 漏洞细节
- 插件的`upload()`函数没有强制执行真实文件扩展名或MIME类型的检查。
- 攻击者可以提供一个用户自定义的`supported_type`字符串和上传文件名。
- 由于缺乏严格的检查，攻击者能够上传任意文件。

## 漏洞影响
- 允许未经身份验证的攻击者上传任意文件至受影响站点的服务器。
- 可能导致远程代码执行。

提示

尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！

漏洞标题

Drag and Drop Multiple File Upload for WooCommerce <= 1.1.6 - Unauthenticated Arbitrary File Upload via upload Function

来源：美国国家漏洞数据库 NVD

漏洞描述信息

The Drag and Drop Multiple File Upload for WooCommerce plugin for WordPress is vulnerable to arbitrary file uploads in all versions up to, and including, 1.1.6 due to accepting a user‐supplied supported_type string and the uploaded filename without enforcing real extension or MIME checks within the upload() function. This makes it possible for unauthenticated attackers to upload arbitrary files on the affected site's server which may make remote code execution possible.

来源：美国国家漏洞数据库 NVD

CVSS信息

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

来源：美国国家漏洞数据库 NVD

漏洞类别

危险类型文件的不加限制上传

来源：美国国家漏洞数据库 NVD

漏洞标题

WordPress plugin Drag and Drop Multiple File Upload for WooCommerce 代码问题漏洞

来源：中国国家信息安全漏洞库 CNNVD

漏洞描述信息

WordPress和WordPress plugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress plugin是一个应用插件。 WordPress plugin Drag and Drop Multiple File Upload for WooCommerce 1.1.6及之前版本存在代码问题漏洞，该漏洞源于upload函数未验证文件扩展名和MIME类型，可能导致任意文件上传。

来源：中国国家信息安全漏洞库 CNNVD

CVSS信息

N/A

来源：中国国家信息安全漏洞库 CNNVD

漏洞类别

代码问题

来源：中国国家信息安全漏洞库 CNNVD

二、漏洞 CVE-2025-4403 的公开POC

#	POC 描述	源链接	神龙链接
1	Drag and Drop Multiple File Upload for WooCommerce <= 1.1.6 - Unauthenticated Arbitrary File Upload via upload Function	https://github.com/Yucaerin/CVE-2025-4403	POC详情
2	CVE-2025-4403	https://github.com/B1ack4sh/Blackash-CVE-2025-4403	POC详情

三、漏洞 CVE-2025-4403 的情报信息

标题： Drag and Drop Multiple File Upload for WooCommerce <= 1.1.6 - Unauthenticated Arbitrary File Upload via upload Function -- 🔗来源链接

标签：
神龙速读
标题： Drag and Drop Multiple File Upload for WooCommerce – WordPress plugin | WordPress.org -- 🔗来源链接

标签：
神龙速读
标题： class-dnd-upload-wc.php in drag-and-drop-multiple-file-upload-for-woocommerce/tags/1.1.6/inc – WordPress Plugin Repository -- 🔗来源链接

标签：
神龙速读
标题： class-dnd-upload-wc.php in drag-and-drop-multiple-file-upload-for-woocommerce/tags/1.1.6/inc – WordPress Plugin Repository -- 🔗来源链接

标签：
神龙速读
标题： Changeset 3289478 – WordPress Plugin Repository -- 🔗来源链接

标签：
神龙速读
https://nvd.nist.gov/vuln/detail/CVE-2025-4403