CVE-2026-13492

WysokieCVSS 8.8

Opublikowano: 09/07/2026(UTC)Zaktualizowano: 10/07/2026(UTC)Przetłumaczono: 11/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.53%

Percentyl 41 - wyżej niż 41% wszystkich znanych CVE

Streszczenie

Wtyczka UsersWP dla WordPressa do wersji 1.2.65 włącznie zawiera podatność na arbitralne usuwanie plików. Wynika to z niewystarczającej walidacji pól plików w funkcji UsersWP_Validation::validate_fields() oraz braku kanonizacji ścieżki w handlerze AJAX UsersWP_Forms::upload_file_remove(), co pozwala na usunięcie dowolnych plików na serwerze.

Ocena ryzyka

Uwierzytelniony atakujący z dostępem na poziomie Subskrybenta lub wyższym może usunąć krytyczne pliki, takie jak wp-config.php, co prowadzi do całkowitego przejęcia kontroli nad witryną i utraty danych.

Rekomendacja

Niezwłocznie zaktualizuj wtyczkę UsersWP do najnowszej dostępnej wersji. Jeśli aktualizacja nie jest możliwa, tymczasowo wyłącz wtyczkę do czasu wydania łatki.

Inne podatności w UsersWP

CVE-2026-18501Średnie
Wtyczka UsersWP – Front-end login form, User Registration, User Profile & Members Directory dla WordPressa w wersjach do 1.2.69 jest podatna na Stored Cross-Site Scripting (XSS) przez podstawianie zmiennych w widżecie Badge. Podatność wynika z niedostatecznej sanitizacji wejścia i braku escape'owania wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta lub wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Oryginalny opis (angielski, źródło NVD)

The UsersWP plugin for WordPress is vulnerable to Arbitrary File Deletion in versions up to, and including, 1.2.65. This is due to insufficient validation of file-field values in the UsersWP_Validation::validate_fields() function (which falls through to sanitize_text_field() for fields of type 'file', leaving directory-traversal sequences intact) combined with the UsersWP_Forms::upload_file_remove() AJAX handler building the deletion target from the uploads basedir concatenated with the attacker-controlled metadata value without any realpath canonicalization or uploads-directory boundary check before calling unlink(). This makes it possible for authenticated attackers, with Subscriber-level access and above, to delete arbitrary files on the affected site's server, including wp-config.