CVE-2026-14489
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
Wtyczka WHMCS Bridge dla WordPressa jest podatna na dowolne przesyłanie plików z powodu braku walidacji typów plików w funkcji connect() we wszystkich wersjach do 6.9 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Custom i wyższym przesyłanie dowolnych plików na serwer, co może prowadzić do zdalnego wykonania kodu.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego wykonania kodu przez uwierzytelnionego atakującego, co może skutkować pełnym przejęciem kontroli nad serwerem WordPress i naruszeniem poufności oraz integralności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki WHMCS Bridge do najnowszej dostępnej wersji oraz ograniczenie uprawnień użytkowników do niezbędnego minimum.
Oryginalny opis (angielski, źródło NVD)
The WHMCS Bridge plugin for WordPress is vulnerable to arbitrary file uploads due to missing file type validation in the connect() function in all versions up to, and including, 6.9. This makes it possible for authenticated attackers, with Custom-level access and above, to upload arbitrary files on the affected site's server which may make remote code execution possible.