CVE-2026-109219
KrytyczneCVSS 9.8Streszczenie
Wtyczka Mang Board dla WordPressa (wersje do 2.4.4 włącznie) jest podatna na dowolne przesyłanie plików poprzez funkcję mbw_file_upload. Brak walidacji rozszerzenia pliku w parametrze image_path pozwala nieuwierzytelnionym atakującym przesłać pliki wykonywalne, co umożliwia zdalne wykonanie kodu.
Ocena ryzyka
Atakujący może uzyskać zdalne wykonanie kodu na serwerze, co prowadzi do pełnego przejęcia systemu. Wymaga to jedynie konfiguracji tablicy do zezwalania na posty gości (domyślne ustawienie) oraz publicznie dostępnego nonce.
Rekomendacja
Zaktualizuj wtyczkę Mang Board do wersji nowszej niż 2.4.4. W międzyczasie rozważ wyłączenie możliwości publikowania przez gości lub ograniczenie dostępu do wtyczki.
Inne podatności w Mang Board
Zobacz wszystkie- CVE-2026-109998Wysokie
Wtyczka Mang Board dla WordPressa (wersje do 2.4.3 włącznie) jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez parametr 'content' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkowników odwiedzających zainfekowaną stronę.
- CVE-2026-109512Średnie
Wtyczka Mang Board dla WordPress w wersjach do 2.4.4 włącznie jest podatna na przechowywany Cross-Site Scripting poprzez parametr 'content' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z poziomem subskrybenta i wyższym może wstrzykiwać dowolne skrypty do stron, które wykonają się przy każdej wizycie użytkownika. Obejście sanityzacji jest dodatkowo ułatwione przez możliwość pominięcia parametru data_type w żądaniu modyfikacji, co całkowicie pomija gałąź HTMLPurifier i pozostawia jedynie kodowanie mbw_htmlspecialchars2 — w pełni odwracane przy renderowaniu.
- CVE-2026-107751Wysokie
Wtyczka Mang Board dla WordPress jest podatna na trwały XSS (Stored Cross-Site Scripting) poprzez parametr 'user_name' we wszystkich wersjach do 2.4.3 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Sanitizer mbw_htmlspecialchars2() jest nieskuteczny, ponieważ ładunek wykorzystuje składnię atrybutów HTML bez cudzysłowów, używając tylko spacji, znaków alfanumerycznych oraz znaków takich jak =, nawiasy i kropki.
- CVE-2026-104909Wysokie
Wtyczka Mang Board dla WordPressa jest podatna na lokalne włączenie plików (LFI) we wszystkich wersjach do 2.4.3 włącznie, poprzez parametr '<mode>_type'. Umożliwia to nieuwierzytelnionym atakującym włączenie i wykonanie dowolnych plików .php na serwerze, co może prowadzić do obejścia kontroli dostępu, wycieku danych lub wykonania kodu. Eksploatacja jest trywialna przez nieuwierzytelniony POST do strony renderującej publiczny shortcode [mb_board], a na standardowych instalacjach PHP można wykorzystać pearcmd.php do zapisu i włączenia złośliwego pliku w jednym żądaniu.
- CVE-2026-104761Średnie
Wtyczka Mang Board dla WordPressa jest podatna na trwały atak XSS poprzez parametr 'content' we wszystkich wersjach do 2.4.3 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie custom i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie użytkownika do zainfekowanej strony.
- CVE-2026-96871Wysokie
Wtyczka Mang Board dla WordPressa jest podatna na Stored Cross-Site Scripting przez parametr 'data_type' we wszystkich wersjach do 2.4.2 włącznie, z powodu niedostatecznej sanityzacji wejścia i ucieczki wyjścia. Atak jest możliwy na każdej tablicy skonfigurowanej z domyślnymi ustawieniami write_level=0 i editor_type=N.
Oryginalny opis (angielski, źródło NVD)
The Mang Board plugin for WordPress is vulnerable to Arbitrary File Upload in all versions up to, and including, 2.4.4 via the mbw_file_upload function. This is due to missing file extension validation on the attacker-supplied image_path parameter, whose basename-derived file name bypasses the extension allowlist applied only to the separate file_name parameter. This makes it possible for unauthenticated attackers to upload files that may be executable, which makes remote code execution possible. Exploitation requires the board to be configured to allow guest posts, which is the plugin's default mode; the required nonce is printed on every public board page, making it readable by any unauthenticated visitor without a WordPress login.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS