CVE-2026-12227
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 - wyżej niż 54% wszystkich znanych CVE
Streszczenie
Wtyczka Visual Composer Website Builder dla WordPressa do wersji 45.16.0 włącznie jest podatna na lokalne dołączanie plików przez parametr `vcv-template`. Niezalogowany atakujący może dołączać i wykonywać dowolne pliki na serwerze, co pozwala na wykonanie kodu PHP w tych plikach.
Ocena ryzyka
Atakujący może ominąć kontrolę dostępu, uzyskać wrażliwe dane lub wykonać kod w przypadku, gdy możliwe jest przesłanie obrazów i innych 'bezpiecznych' typów plików.
Rekomendacja
Zaktualizuj wtyczkę Visual Composer Website Builder do najnowszej wersji, która zawiera poprawkę tej podatności.
Inne podatności w Visual Composer Website Builder
Zobacz wszystkie- CVE-2026-65568Średnie
Wtyczka Visual Composer Website Builder w wersji 45.15.0 i starszych ma podatność na złamanie kontroli dostępu dla użytkowników z rolą Współautora. Osoba o niskich uprawnieniach może uzyskać nieautoryzowany dostęp do funkcji.
- CVE-2026-62138Średnie
Wtyczka Visual Composer Website Builder w wersjach do 45.16.1 włącznie zawiera podatność Cross Site Scripting (XSS), którą może wykorzystać użytkownik z uprawnieniami Contributor. Pozwala to na wstrzyknięcie złośliwego skryptu do treści strony.
Oryginalny opis (angielski, źródło NVD)
The Visual Composer Website Builder plugin for WordPress is vulnerable to Local File Inclusion in all versions up to, and including, 45.16.0 via the `vcv-template` parameter. This makes it possible for unauthenticated attackers to include and execute arbitrary files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where images and other “safe” file types can be uploaded and included.