CVE-2026-12995
ŚrednieCVSS 4.3Streszczenie
Wtyczka Custom Field Template dla WordPressa w wersjach do 2.7.8 włącznie jest podatna na Insecure Direct Object Reference poprzez edit_meta_value z powodu braku walidacji klucza kontrolowanego przez użytkownika. Uwierzytelniony atakujący z uprawnieniami współpracownika lub wyższymi może usuwać dowolne załączniki multimedialne w całej witrynie, podając dowolny numeryczny identyfikator załącznika w parametrze file-field wraz z odpowiednią flagą usunięcia, powodując utratę treści i uszkodzenie stron.
Ocena ryzyka
Atakujący może usuwać pliki multimedialne, co prowadzi do utraty treści i uszkodzenia stron internetowych.
Rekomendacja
Zaktualizuj wtyczkę Custom Field Template do wersji nowszej niż 2.7.8, gdy tylko będzie dostępna.
Inne podatności w Custom Field Template
Zobacz wszystkie- CVE-2026-9855Średnie
Wtyczka Custom Field Template dla WordPressa jest podatna na ogólny SQL Injection poprzez parametr 'post_ID' we wszystkich wersjach do 2.7.8 włącznie, z powodu niewystarczającego escapingu parametru i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyżej dołączanie dodatkowych zapytań SQL do istniejących, co może prowadzić do wyciągnięcia wrażliwych informacji z bazy danych. Sprawdzanie uprawnień jest omijalne, ponieważ WordPress wewnętrznie rzutuje $id na liczbę całkowitą, podczas gdy pełny niesanityzowany ciąg jest przekazywany do zapytania.
- CVE-2026-57687Wysokie
Wtyczka Custom Field Template dla WordPressa w wersji 2.7.8 i starszych zawiera podatność na wstrzykiwanie SQL przez współtwórcę. Atakujący z uprawnieniami współtwórcy może wstrzyknąć złośliwe zapytania SQL do bazy danych.
Oryginalny opis (angielski, źródło NVD)
The Custom Field Template plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 2.7.8 via the edit_meta_value due to missing validation on a user controlled key. This makes it possible for authenticated attackers, with contributor-level access and above, to delete arbitrary media attachments site-wide by supplying any numeric attachment ID in the file-field parameter alongside the corresponding delete flag, causing content loss and broken pages. Exploitation requires that the attacker's post is governed by a Custom Field Template containing at least one file-type field with the mediaRemove option not enabled, which is the default configuration for file fields.