CVE:CVE-2021-25094
CNNVD:CNNVD-202204-4338
WordPress和WordPress plugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress plugin是一个应用插件。
WordPress plugin Tatsu 3.3.12 之前版本存在访问控制错误漏洞，该漏洞源于 add_custom_font 操作无需事先身份验证即可用于上传在 WordPress 上传目录下未压缩的 zip 文件。攻击者可以在 Wordpress 中无限制地上传文件，从而在服务器主机上执行远程代码。
solution:Upgrade brandexponents tatsu to a higher version than 3.3.12,and avoid the version (,3.3.12)