CVE-2026-15282
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
Wtyczka Instant Appointment dla WordPressa jest podatna na dowolne przesyłanie plików z powodu braku walidacji typu pliku w funkcji 'insapp_upload_image_as_attachment' we wszystkich wersjach do 1.2 włącznie. Umożliwia to nieuwierzytelnionym atakującym przesyłanie dowolnych plików na serwer, co może prowadzić do zdalnego wykonania kodu.
Ocena ryzyka
Ryzyko dla organizacji obejmuje możliwość przejęcia kontroli nad serwerem poprzez zdalne wykonanie kodu, co może skutkować utratą danych, naruszeniem integralności systemu i dalszymi atakami.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Instant Appointment do najnowszej dostępnej wersji, która zawiera poprawkę zabezpieczającą przed dowolnym przesyłaniem plików.
Oryginalny opis (angielski, źródło NVD)
The Instant Appointment plugin for WordPress is vulnerable to arbitrary file uploads due to missing file type validation in the 'insapp_upload_image_as_attachment' function in all versions up to, and including, 1.2. This makes it possible for unauthenticated attackers to upload arbitrary files on the affected site's server which may make remote code execution possible.