CVE-2026-15039
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress giftware przed wersją 4.2.10 nie waliduje typu przesyłanych plików w jednej ze ścieżek uploadu. Niezalogowani użytkownicy mogą przesyłać dowolne pliki, w tym kod PHP, co może prowadzić do zdalnego wykonania kodu.
Ocena ryzyka
Krytyczne ryzyko zdalnego wykonania kodu przez nieuwierzytelnionych atakujących, co może skutkować pełnym przejęciem serwera i kompromitacją danych.
Rekomendacja
Natychmiast zaktualizuj wtyczkę giftware do wersji 4.2.10 lub nowszej. Dodatkowo ogranicz możliwość przesyłania plików i wdróż reguły WAF.
Oryginalny opis (angielski, źródło NVD)
The giftware WordPress plugin before 4.2.10 does not validate the type of uploaded files in one of its upload paths, allowing unauthenticated users to upload arbitrary files, including PHP code, which can lead to remote code execution.