CVE-2026-103293

ŚrednieCVSS 6.8

Opublikowano: 03/10/2026(UTC)Zaktualizowano: 03/10/2026(UTC)Przetłumaczono: 03/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.16%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress MPG w wersji przed 4.2.3 nie sprawdza, czy źródło zbioru danych podane przy imporcie projektu jest zdalnym adresem URL, zanim potraktuje je jako lokalną ścieżkę w systemie plików i skopiuje plik do publicznie dostępnego katalogu uploads. Umożliwia to użytkownikom z rolą Editor i wyższą odczyt dowolnych plików na serwerze, a skopiowany plik może pobrać nieuwierzytelniony odwiedzający.

Ocena ryzyka

Może dojść do wycieku wrażliwych plików serwera, takich jak pliki konfiguracyjne zawierające dane dostępowe do bazy danych. Ryzyko jest wysokie, ponieważ skopiowane pliki są publicznie dostępne.

Rekomendacja

Zaktualizuj wtyczkę MPG do wersji 4.2.3 lub nowszej. Sprawdź katalog uploads i usuń wszelkie nieoczekiwane pliki skopiowane przez tę funkcję.

Inne podatności w MPG

CVE-2026-97302Średnie
Wtyczka MPG w wersjach do 4.2.3 włącznie pozwala nieuwierzytelnionemu użytkownikowi na dostęp do wrażliwych danych. Brak wymaganego uwierzytelnienia umożliwia ujawnienie poufnych informacji.

Oryginalny opis (angielski, źródło NVD)

The MPG WordPress plugin before 4.2.3 does not validate that the dataset source supplied when importing a project is a remote URL before treating it as a local filesystem path and copying that file into a publicly accessible uploads folder. This makes it possible for users with the Editor role and above to read the contents of arbitrary files on the server, with the copied file then retrievable by unauthenticated visitors.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS