CVE-2026-15049

WysokieCVSS 7.2

Opublikowano: 20/08/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 20/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.52%

Percentyl 42 - wyżej niż 42% wszystkich znanych CVE

Streszczenie

Wtyczka Depicter — Popup & Slider Builder dla WordPressa przed wersją 4.8.0 nie waliduje typu pliku przesyłanego przez funkcję importu i nie usuwa nieprawidłowego przesyłania, co pozwala użytkownikom z dostępem na poziomie edytora na zapis dowolnego pliku (w tym wykonywalnego PHP) w katalogu dostępnym z sieci, co może prowadzić do zdalnego wykonania kodu.

Ocena ryzyka

Ryzyko zdalnego wykonania kodu i pełnej kompromitacji witryny WordPress.

Rekomendacja

Zaktualizuj wtyczkę do wersji 4.8.0 lub nowszej i ogranicz uprawnienia użytkowników z rolą edytora.

Inne podatności w Depicter

CVE-2025-8383Średnie
Wtyczka Depicter dla WordPressa do wersji 4.0.4 włącznie jest podatna na Cross-Site Request Forgery z powodu braku lub nieprawidłowej walidacji nonce w funkcji depicter-document-rules-store. Umożliwia to nieuwierzytelnionym atakującym modyfikację reguł dokumentów poprzez sfałszowane żądanie, jeśli nakłonią administratora do kliknięcia linku.

Oryginalny opis (angielski, źródło NVD)

The Depicter — Popup & Slider Builder WordPress plugin before 4.8.0 does not validate the type of a file uploaded through its import feature and does not remove a malformed upload, allowing users with editor-level access to write an arbitrary file (including executable PHP) into a web-accessible directory, which can lead to remote code execution.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS