CVE-2026-12406
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Wtyczka User Frontend dla WordPress w wersjach do 4.3.7 zawiera podatność na ominięcie autoryzacji. Niezautoryzowani atakujący mogą usuwać dowolne załączniki multimedialne, których autor ma ID 0, wykorzystując akcję AJAX wpuf_file_del.
Ocena ryzyka
Ryzyko polega na możliwości usunięcia przez nieuwierzytelnionego gościa plików przesłanych przez formularze rejestracyjne lub gości, co może prowadzić do utraty danych i zakłócenia działania strony.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę User Frontend do najnowszej dostępnej wersji, która usuwa tę podatność. Do czasu aktualizacji zaleca się tymczasowe wyłączenie wtyczki lub usunięcie shortcode'ów WPUF z widocznych stron.
Inne podatności w User Frontend
Zobacz wszystkie- CVE-2026-5459Średnie
Wtyczka User Frontend dla WordPressa w wersjach do 4.3.1 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w funkcji payment_page(). Brak walidacji parametru 'user_id' umożliwia nieuwierzytelnionemu atakującemu aktywowanie darmowego pakietu subskrypcyjnego dla dowolnego użytkownika, nadpisując jego istniejącą płatną subskrypcję i powodując utratę płatnych funkcji.
- CVE-2026-14558Wysokie
Wtyczka User Frontend dla WordPressa przed wersją 4.3.10 nieprawidłowo waliduje definicje typów pól i deserializuje kontrolowane przez użytkownika metadane postów podczas renderowania przesłanych wpisów. Użytkownicy z dostępem na poziomie edytora i wyższym mogą wstrzykiwać dowolne obiekty PHP, co może prowadzić do zdalnego wykonania kodu, gdy na stronie istnieje odpowiedni łańcuch POP.
- CVE-2026-12418Średnie
Wtyczka User Frontend dla WordPressa w wersjach do 4.3.7 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) przez parametr 'wpuf_files_data'. Brak walidacji klucza kontrolowanego przez użytkownika umożliwia nieuwierzytelnionym atakującym nadpisanie tytułu, treści i streszczenia dowolnego wpisu na stronie, w tym wpisów administratorów.
Oryginalny opis (angielski, źródło NVD)
The User Frontend: AI Powered Frontend Posting, User Directory, Profile, Membership & User Registration plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 4.3.7. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for unauthenticated attackers to delete arbitrary media attachments whose post_author is 0, such as guest and registration-form uploads, via the wpuf_file_del AJAX action. This is exploitable by unauthenticated visitors on any site where a WPUF shortcode is rendered on a front-end page, as this causes the valid wpuf_nonce value to be localized into publicly accessible JavaScript objects (wpuf_upload and wpuf_frontend), satisfying the sole access control gate.