CVE-2026-12872
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Wtyczka Webinfos WordPress do wersji 1.2 nie waliduje typu ani nazwy przesyłanych plików, a także nie wymaga uwierzytelnienia ani sprawdzenia nonce przy operacji przesyłania. Umożliwia to nieuwierzytelnionym atakującym przesyłanie dowolnych plików (w tym PHP) do katalogu dostępnego z sieci, co prowadzi do zdalnego wykonania kodu na serwerach wykonujących PHP z tego katalogu.
Ocena ryzyka
Atakujący może uzyskać pełną kontrolę nad serwerem WWW, wykonując dowolny kod PHP, co może skutkować kradzieżą danych, modyfikacją treści lub dalszym atakiem na infrastrukturę.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Webinfos do najnowszej wersji lub całkowicie ją usunąć, jeśli nie jest dostępna łatka. Dodatkowo warto ograniczyć możliwość przesyłania plików tylko do uwierzytelnionych użytkowników z odpowiednimi uprawnieniami.
Oryginalny opis (angielski, źródło NVD)
The Webinfos WordPress plugin through 1.2 does not validate the type or name of uploaded files, nor restrict the upload action with any authentication, capability, or nonce check, allowing unauthenticated attackers to upload arbitrary files (including PHP) to a web-accessible directory, leading to remote code execution on servers that execute PHP from the uploads path.