CVE-2026-11962
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
Wtyczka FileOrganizer dla WordPressa przed wersją 1.2.0 nie waliduje typu plików w kilku operacjach zarządzania plikami, co pozwala uwierzytelnionym użytkownikom z dostępem do menedżera plików (który płatny dodatek może rozszerzyć na role podadministratorów) na przesyłanie dowolnych plików PHP i zdalne wykonanie kodu. Jest to niekompletna poprawka CVE-2024-7985, która dodała walidację typu plików tylko do operacji przesyłania.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości przejęcia kontroli nad serwerem przez atakującego z ograniczonymi uprawnieniami, co może prowadzić do kradzieży danych, modyfikacji treści lub dalszego rozprzestrzeniania się ataku w sieci.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę FileOrganizer do wersji 1.2.0 lub nowszej, a także ograniczyć dostęp do menedżera plików tylko do zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The FileOrganizer WordPress plugin before 1.2.0 does not validate the file type on several of its file-management operations, allowing authenticated users who have been granted file-manager access — which its premium add-on can extend to sub-administrator roles — to upload arbitrary PHP files and achieve remote code execution. This is an incomplete fix of CVE-2024-7985, which only added file-type validation to the upload operation.