CVE-2026-14560
KrytyczneCVSS 10.0Streszczenie
Wtyczka WordPress teddy-bear-customize-addon w wersjach do 1.0.5 nieprawidłowo waliduje przesyłane pliki, opierając się na typie treści dostarczonym przez klienta i zachowując oryginalną nazwę pliku. Umożliwia to nieuwierzytelnionym atakującym przesłanie dowolnych plików PHP i wykonanie kodu na serwerze.
Ocena ryzyka
Atakujący może wykonać dowolny kod na serwerze, co prowadzi do pełnego przejęcia hosta i potencjalnego naruszenia danych. Jest to krytyczne zagrożenie dla poufności, integralności i dostępności.
Rekomendacja
Natychmiast zaktualizuj wtyczkę teddy-bear-customize-addon do wersji zawierającej poprawkę lub ją wyłącz i usuń. Sprawdź serwer pod kątem obecności nieautoryzowanych plików PHP.
Inne podatności w teddy-bear-customize-addon WordPress plugin
Zobacz wszystkie- CVE-2026-14562Średnie
Wtyczka WordPress teddy-bear-customize-addon do wersji 1.0.5 nie wykonuje żadnych sprawdzeń autoryzacji ani własności przed zwróceniem metadanych zamówienia WooCommerce oraz adresów URL załączników przesłanych przez klientów. Umożliwia to nieuwierzytelnionym atakującym ujawnienie danych zamówień i załączników innych klientów.
- CVE-2026-14559Krytyczne
Wtyczka WordPress teddy-bear-customize-addon w wersjach do 1.0.5 nie weryfikuje hasła użytkownika przed jego uwierzytelnieniem. Umożliwia to nieuwierzytelnionym atakującym zalogowanie się jako dowolny zarejestrowany użytkownik, w tym administrator, podając jedynie jego adres e-mail.
Oryginalny opis (angielski, źródło NVD)
The teddy-bear-customize-addon WordPress plugin through 1.0.5 does not properly validate uploaded files, relying on a client-supplied content type and preserving the original filename, allowing unauthenticated attackers to upload arbitrary PHP files and execute code on the server.