CVE-2026-12514
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczki Shared Files (do 1.7.67) i Shared Files Pro (do 1.7.70) dla WordPressa nie przeprowadzają kontroli uprawnień w handlerze przesyłania plików, który jest zarejestrowany dla nieuwierzytelnionych użytkowników i chroniony tylko nonce wyświetlanym na publicznych stronach. Niezalogowany gość może przesyłać pliki do publicznie dostępnego katalogu i odczytać bezwzględną ścieżkę serwera z odpowiedzi. Przesyłane pliki są ograniczone do dozwolonych typów MIME WordPressa, więc nie można przesłać wykonywalnego PHP.
Ocena ryzyka
Ryzyko nieautoryzowanego przesyłania plików i ujawnienia ścieżki serwera, co może ułatwić dalsze ataki.
Rekomendacja
Zaktualizuj wtyczki Shared Files do wersji 1.7.67 lub nowszej oraz Shared Files Pro do 1.7.70 lub nowszej. Ogranicz dostęp do publicznych stron, jeśli to możliwe.
Inne podatności w Shared Files
Zobacz wszystkie- CVE-2026-78269Średnie
Podatność SSRF (Server Side Request Forgery) w wtyczce Shared Files w wersjach do 1.7.69, dotykająca użytkowników z rolą kontrybutora. Umożliwia wysyłanie żądań z serwera do wewnętrznych zasobów.
- CVE-2026-12513Średnie
Wtyczki Shared Files (do 1.7.67) i Shared Files Pro (do 1.7.68) dla WordPressa nieprawidłowo sanityzują ścieżkę pliku pochodzącą z frontendowego przesyłania plików, a ich jednoprzebiegowy filtr traversal jest możliwy do obejścia. Nieuwierzytelnieni użytkownicy mogą zapisać ścieżkę wskazującą poza katalog uploads. Gdy odpowiedni wpis pliku zostanie później trwale usunięty, dowolny plik na serwerze (np. wp-config.php) zostanie usunięty, co prowadzi do odmowy usługi i potencjalnego przejęcia witryny.
- CVE-2026-49112Wysokie
Wersje Shared Files do 1.7.64 zawierają podatność na nieautoryzowany atak typu Path Traversal, co pozwala atakującemu na dostęp do plików systemowych.
Oryginalny opis (angielski, źródło NVD)
The Shared Files WordPress plugin before 1.7.67, shared-files-pro WordPress plugin before 1.7.70 do not perform a capability check in their file-upload handler, which is registered for unauthenticated users and protected only by a nonce that is output on public pages, so an unauthenticated visitor can upload files to a publicly accessible directory and read the server's absolute path from the response. Uploads are limited to WordPress's allowed MIME types, so executable PHP cannot be uploaded.