CVE-2026-13492
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
Wtyczka UsersWP dla WordPressa do wersji 1.2.65 włącznie zawiera podatność na arbitralne usuwanie plików. Wynika to z niewystarczającej walidacji pól plików w funkcji UsersWP_Validation::validate_fields() oraz braku kanonizacji ścieżki w handlerze AJAX UsersWP_Forms::upload_file_remove(), co pozwala na usunięcie dowolnych plików na serwerze.
Ocena ryzyka
Uwierzytelniony atakujący z dostępem na poziomie Subskrybenta lub wyższym może usunąć krytyczne pliki, takie jak wp-config.php, co prowadzi do całkowitego przejęcia kontroli nad witryną i utraty danych.
Rekomendacja
Niezwłocznie zaktualizuj wtyczkę UsersWP do najnowszej dostępnej wersji. Jeśli aktualizacja nie jest możliwa, tymczasowo wyłącz wtyczkę do czasu wydania łatki.
Inne podatności w UsersWP
Zobacz wszystkie- CVE-2026-94641Wysokie
Wtyczka UsersWP dla WordPressa (do wersji 1.2.73) jest podatna na Reflected XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie odbity i wykonany w przeglądarce użytkownika.
- CVE-2026-103086Średnie
Wtyczka UsersWP dla WordPressa do wersji 1.2.74 zawiera podatność typu Missing Authorization, wynikającą z nieprawidłowo skonfigurowanej kontroli dostępu. Pozwala to na wykorzystanie błędnie skonfigurowanych poziomów bezpieczeństwa kontroli dostępu.
- CVE-2026-86814Wysokie
Wtyczka UsersWP dla WordPressa przed wersją 1.5.10 nie weryfikuje, czy dostawca logowania społecznościowego potwierdził posiadanie adresu e-mail przed użyciem go do rozpoznania istniejącego konta, co pozwala nieuwierzytelnionym atakującym zalogować się jako dowolny użytkownik, w tym administrator, jeśli mogą potwierdzić jego adres e-mail przez własne konto u dostawcy.
- CVE-2026-19991Wysokie
Wtyczka UsersWP dla WordPressa (wersje do 1.2.70 włącznie) jest podatna na usuwanie dowolnych plików poprzez handler AJAX upload_file_remove(). Uwierzytelniony atakujący z poziomem Subscriber lub wyższym może usunąć dowolne pliki na serwerze, w tym wp-config.
- CVE-2026-18501Średnie
Wtyczka UsersWP – Front-end login form, User Registration, User Profile & Members Directory dla WordPressa w wersjach do 1.2.69 jest podatna na Stored Cross-Site Scripting (XSS) przez podstawianie zmiennych w widżecie Badge. Podatność wynika z niedostatecznej sanitizacji wejścia i braku escape'owania wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta lub wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2025-67593Średnie
Wtyczka UsersWP (wersje do 1.2.48 włącznie) zawiera podatność na Cross-Site Request Forgery (CSRF). Umożliwia ona atakującemu wymuszenie wykonania niepożądanych działań przez administratora.
- CVE-2025-66072Średnie
Wtyczka UsersWP (userswp) w wersjach do 1.2.47 włącznie ma brak autoryzacji, co pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
The UsersWP plugin for WordPress is vulnerable to Arbitrary File Deletion in versions up to, and including, 1.2.65. This is due to insufficient validation of file-field values in the UsersWP_Validation::validate_fields() function (which falls through to sanitize_text_field() for fields of type 'file', leaving directory-traversal sequences intact) combined with the UsersWP_Forms::upload_file_remove() AJAX handler building the deletion target from the uploads basedir concatenated with the attacker-controlled metadata value without any realpath canonicalization or uploads-directory boundary check before calling unlink(). This makes it possible for authenticated attackers, with Subscriber-level access and above, to delete arbitrary files on the affected site's server, including wp-config.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS