CVE-2026-13001
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 61 - wyżej niż 61% wszystkich znanych CVE
Streszczenie
Wtyczka Podlove Podcast Publisher dla WordPressa jest podatna na dowolne przesyłanie plików z powodu braku walidacji typu pliku w funkcji 'podlove_handle_cache_files' we wszystkich wersjach do 4.5.1 włącznie. Umożliwia to nieuwierzytelnionym atakującym przesyłanie dowolnych plików na serwer, co może prowadzić do zdalnego wykonania kodu.
Ocena ryzyka
Ryzyko dla organizacji obejmuje możliwość przejęcia kontroli nad serwerem poprzez zdalne wykonanie kodu, co może skutkować utratą danych, naruszeniem integralności systemu oraz dalszymi atakami na infrastrukturę.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Podlove Podcast Publisher do najnowszej dostępnej wersji, która zawiera poprawkę usuwającą tę podatność. Należy również ograniczyć możliwość przesyłania plików przez nieuwierzytelnionych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The Podlove Podcast Publisher plugin for WordPress is vulnerable to arbitrary file uploads due to missing file type validation in the 'podlove_handle_cache_files' function in all versions up to, and including, 4.5.1. This makes it possible for unauthenticated attackers to upload arbitrary files on the affected site's server which may make remote code execution possible.