CVE-2026-114444
ŚrednieCVSS 4.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Security Plugin, Firewall & Malware Scanner with Auto Removal przed wersją 2.191 nie ogranicza przeglądarki plików File System Watcher do Super Adminów ani do plików, które legalnie śledzi. Pozwala to administratorowi niebędącemu Super Adminem, w tym administratorowi podstrony w multisite WordPress, na odczyt zawartości wrażliwych śledzonych plików, takich jak główny plik konfiguracyjny, i ujawnienie kluczy uwierzytelniania, soli oraz, w standardowej instalacji, danych dostępowych do bazy danych.
Ocena ryzyka
Ujawnienie kluczy uwierzytelniania i danych dostępowych do bazy danych może umożliwić atakującemu pełne przejęcie witryny oraz dostęp do danych innych podstron w multisite.
Rekomendacja
Zaktualizuj wtyczkę do wersji 2.191 lub nowszej. Po aktualizacji rozważ rotację kluczy i soli oraz haseł do bazy danych.
Inne podatności w Security Plugin, Firewall & Malware Scanner with Auto Removal WordPress plugin
Oryginalny opis (angielski, źródło NVD)
The Security Plugin, Firewall & Malware Scanner with Auto Removal WordPress plugin before 2.191 does not restrict its File System Watcher file viewer to Super Admins or to the files it legitimately tracks, allowing a non-super-admin administrator, including a subsite administrator on WordPress multisite, to read the contents of sensitive tracked files such as the main configuration file and disclose the site's authentication keys, salts and, on a standard install, database credentials.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS