CVE-2026-119977

WysokieCVSS 8.1

Opublikowano: 31/10/2026(UTC)Zaktualizowano: 02/11/2026(UTC)Przetłumaczono: 31/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.60%

Percentyl 49 - wyżej niż 49% wszystkich znanych CVE

Streszczenie

WordPress Core w wersjach 4.7–7.1.3 jest podatny na zdalne wykonanie kodu (RCE) z powodu przewidywalnych, dostępnych przez sieć ścieżek staging używanych podczas pełnych aktualizacji pakietu rdzenia. Umożliwia to nieuwierzytelnionym atakującym wykonanie kodu na serwerze w oknie aktualizacji.

Ocena ryzyka

Atakujący może przejąć kontrolę nad serwerem WordPress, co prowadzi do pełnej kompromitacji witryny i potencjalnego wycieku danych. Ryzyko jest wysokie, ponieważ exploitacja nie wymaga uwierzytelnienia, a jedynie wystąpienia okna aktualizacji.

Rekomendacja

Jak najszybciej zaktualizuj WordPress Core do wersji nowszej niż 7.1.3 i ogranicz dostęp do katalogów staging podczas aktualizacji. Rozważ przeprowadzanie aktualizacji w kontrolowanym oknie serwisowym i monitorowanie nietypowych plików w katalogu głównym.

Inne podatności w WordPress Core

CVE-2026-114570Średnie
WordPress Core (wszystkie wersje do 7.0.2 włącznie) jest podatny na przechowywany Cross-Site Scripting poprzez funkcję Quick Edit z powodu niewystarczającego escapowania nazw wyświetlanych użytkowników. Uwierzytelniony atakujący z poziomem Contributor lub wyższym może wstrzyknąć dowolne skrypty, które wykonają się, gdy wyżej uprawniony użytkownik otworzy odpowiednie ekrany administracyjne. Problem dotyczy wyłącznie witryn z dużą liczbą użytkowników.

Oryginalny opis (angielski, źródło NVD)

WordPress Core is vulnerable to Remote Code Execution in versions 4.7 through 7.1.3. This is due to predictable, web-accessible staging paths used during full-package core upgrades. This makes it possible for unauthenticated attackers to execute code on the server during the upgrade window.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS