CVE-2026-16230
KrytyczneCVSS 9.8Streszczenie
Wtyczka Formidable Digital Signatures dla WordPress jest podatna na usuwanie plików z powodu niewystarczającej walidacji ścieżek plików w funkcji delete_file we wszystkich wersjach do 3.0.6 włącznie. Umożliwia to nieuwierzytelnionym atakującym usuwanie plików na serwerze poprzez podanie kontrolowanej przez atakującego nazwy pliku w parametrze item_meta[field_id][content] wraz z flagą delete_saved_image podczas standardowego procesu tworzenia wpisu w dowolnym formularzu akceptującym anonimowe zgłoszenia.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowane usuwanie plików na serwerze, co może prowadzić do utraty danych, zakłócenia działania witryny lub dalszych ataków.
Rekomendacja
Zaleca się aktualizację wtyczki do wersji, która usuwa tę podatność, oraz wdrożenie walidacji ścieżek plików po stronie serwera.
Oryginalny opis (angielski, źródło NVD)
The Formidable Digital Signatures plugin for WordPress is vulnerable to file deletion due to insufficient file path validation in the delete_file function in all versions up to, and including, 3.0.6. This makes it possible for unauthenticated attackers to delete files on the server by supplying an attacker-controlled filename in the item_meta[field_id][content] parameter alongside the delete_saved_image flag during the standard entry-creation POST flow on any form that accepts anonymous submissions.