CVE-2026-14524
KrytyczneCVSS 9.1Streszczenie
Wtyczka ProSolution WP Client dla WordPressa do wersji 2.0.8 włącznie zawiera podatność na dowolne usuwanie plików. Niewystarczająca walidacja ścieżki pliku w funkcji proSol_fileDeleteProcess pozwala nieuwierzytelnionym atakującym na usuwanie dowolnych plików na serwerze, co może prowadzić do zdalnego wykonania kodu.
Ocena ryzyka
Atakujący może usunąć krytyczne pliki, takie jak wp-config.php, co prowadzi do całkowitej utraty kontroli nad witryną i potencjalnego zdalnego wykonania kodu.
Rekomendacja
Zaktualizuj wtyczkę do najnowszej wersji. Dodatkowo ogranicz dostęp do funkcji przesyłania i usuwania plików oraz monitoruj logi serwera.
Oryginalny opis (angielski, źródło NVD)
The ProSolution WP Client plugin for WordPress is vulnerable to arbitrary file deletion due to insufficient file path validation in the proSol_fileDeleteProcess function in all versions up to, and including, 2.0.8. This makes it possible for unauthenticated attackers to delete arbitrary files on the server, which can easily lead to remote code execution when the right file is deleted (such as wp-config.php). An attacker must first call the proSol_fileUploadModalProcess handler to poison their own session with a path-traversal key, then call proSol_fileDeleteProcess with that key as the filename parameter; both steps require only the publicly exposed frontend nonce.