CVE-2026-15095
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 66 - wyżej niż 66% wszystkich znanych CVE
Streszczenie
Wtyczka Product Feed Manager for WooCommerce – CTX Feed dla WordPress jest podatna na Directory Traversal we wszystkich wersjach do 6.6.43 włącznie poprzez parametr 'provider'. Uwierzytelniony atakujący z poziomem dostępu shop manager lub wyższym może usuwać dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu po usunięciu krytycznych plików. Wykorzystanie wymaga dwóch sekwencyjnych wywołań REST API.
Ocena ryzyka
Atakujący może usunąć krytyczne pliki, powodując awarię witryny lub potencjalne zdalne wykonanie kodu, co stanowi poważne zagrożenie dla dostępności i integralności systemu.
Rekomendacja
Zaktualizuj wtyczkę CTX Feed do wersji nowszej niż 6.6.43, gdy poprawka będzie dostępna, i ogranicz uprawnienia shop managerów do niezbędnego minimum.
Inne podatności w CTX Feed
Zobacz wszystkie- CVE-2026-66709Krytyczne
Wtyczka CTX Feed w wersjach do 6.6.42 zawiera podatność na zdalne wykonanie kodu (RCE) przez menedżera sklepu. Atakujący z uprawnieniami menedżera sklepu może wykorzystać tę podatność do wykonania dowolnego kodu na serwerze.
- CVE-2026-73383Średnie
Wtyczka CTX Feed w wersji 6.6.47 i starszych ma podatność na dowolne pobieranie plików przez użytkownika z rolą Shop manager. Oznacza to, że menedżer sklepu może pobierać dowolne pliki z serwera, do których nie powinien mieć dostępu.
- CVE-2026-39434Wysokie
W wersjach CTX Feed do 6.6.26 występuje podatność na wstrzykiwanie obiektów PHP w menedżerze sklepu.
Oryginalny opis (angielski, źródło NVD)
The Product Feed Manager for WooCommerce – CTX Feed – Support 220+ Shopping & Social Channels plugin for WordPress is vulnerable to Directory Traversal in all versions up to, and including, 6.6.43 via the 'provider' parameter. This makes it possible for authenticated attackers, with shop manager-level access and above, to delete arbitrary files on the server, which can lead to remote code execution when critical files are deleted. Exploitation requires two sequential REST API calls: first to /wp-json/ctxfeed/v1/make_feed/save_feed_config to persist the traversal payload in wp_options, then to /wp-json/ctxfeed/v1/manage_feeds/delete_feed to trigger the unlink(); deletion is further constrained to files whose extensions match the plugin's validated whitelist (csv, xml, tsv, xls, xlsx, json, txt).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS