CVE-2025-13320
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 56 - wyżej niż 56% wszystkich znanych CVE
Streszczenie
Wtyczka WP User Manager dla WordPress w wersjach do 2.9.12 włącznie jest podatna na dowolne usuwanie plików. Wynika to z niewystarczającej walidacji ścieżek plików dostarczanych przez użytkownika w funkcji aktualizacji profilu oraz nieprawidłowej obsługi tablic przez funkcję filter_input() w PHP. Uwierzytelniony atakujący z uprawnieniami Subscriber lub wyższymi może usunąć dowolne pliki na serwerze poprzez parametr 'current_user_avatar' w dwuetapowym ataku, co może umożliwić zdalne wykonanie kodu.
Ocena ryzyka
Atakujący z niskimi uprawnieniami może usunąć dowolne pliki na serwerze, co może prowadzić do przerwy w działaniu lub zdalnego wykonania kodu. Dotyczy to wyłącznie witryn z włączonym ustawieniem niestandardowego awatara.
Rekomendacja
Zaktualizuj wtyczkę WP User Manager do wersji nowszej niż 2.9.12. Jeśli aktualizacja nie jest możliwa, rozważ wyłączenie ustawienia niestandardowego awatara.
Inne podatności w WP User Manager
Zobacz wszystkie- CVE-2026-49766Krytyczne
Wtyczka WP User Manager w wersjach do 2.9.16 zawiera podatność, która pozwala subskrybentom na dowolne usuwanie plików.
- CVE-2026-103085Średnie
Wtyczka WP User Manager dla WordPressa do wersji 2.9.20 zawiera podatność typu Improper Access Control, która pozwala na nadużycie uprawnień. Wynika to z nieprawidłowej kontroli dostępu.
- CVE-2026-94079Średnie
Podatność Broken Access Control w wtyczce WP User Manager w wersjach do 2.9.19 włącznie. Podatność może być wykorzystana przez nieuwierzytelnionego atakującego.
- CVE-2026-18345Średnie
Wtyczka WP User Manager dla WordPressa w wersjach do 2.9.18 włącznie jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzania uprawnień w funkcji Connect::complete(). Funkcja jest zarejestrowana na hooku admin_init i nie weryfikuje uprawnień ani nonce przed pobraniem danych uwierzytelniających Stripe i zapisaniem ich w opcji wpum_settings. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może przejąć integrację Stripe, kierując wszystkie płatności na swoje konto.
- CVE-2026-9290Wysokie
Wtyczka WP User Manager – User Profile Builder & Membership dla WordPressa w wersjach do 2.9.17 włącznie zawiera podatność na lokalne dołączanie plików (Local File Inclusion) w funkcji szablonu profilu. Nieuwierzytelnieni atakujący mogą dołączać i wykonywać dowolne pliki .php na serwerze, co umożliwia ominięcie kontroli dostępu, uzyskanie wrażliwych danych lub wykonanie kodu.
Oryginalny opis (angielski, źródło NVD)
The WP User Manager plugin for WordPress is vulnerable to Arbitrary File Deletion in all versions up to, and including, 2.9.12. This is due to insufficient validation of user-supplied file paths in the profile update functionality combined with improper handling of array inputs by PHP's filter_input() function. This makes it possible for authenticated attackers, with Subscriber-level access and above, to delete arbitrary files on the server via the 'current_user_avatar' parameter in a two-stage attack which can make remote code execution possible. This only affects sites with the custom avatar setting enabled.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS