CVE:CVE-2021-25051
CNNVD:CNNVD-202201-659
WordPress是Wordpress基金会的一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress plugin是WordPress开源的一个应用插件。
WordPress插件存在跨站请求伪造漏洞，该漏洞源于在5.2.2之前，在wow-company管理菜单页面中的模态窗口WordPress插件允许包含()带有PHP扩展名(以及带有data:或http:协议)的任意文件，从而导致CSRF RCE。
solution:Upgrade wow-company modal_window to a higher version than 5.2.2,and avoid the version (,5.2.2)