CVE-2026-16250
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress 'Personal QR Message' do wersji 1.0 nie ogranicza typów plików, które mogą być przesyłane przez nieuwierzytelniony handler, co pozwala niezalogowanym użytkownikom na przesyłanie dowolnych wykonywalnych plików PHP, które są bezpośrednio dostępne, prowadząc do zdalnego wykonania kodu.
Ocena ryzyka
Nieuwierzytelniony atakujący może przesłać złośliwy plik PHP i uzyskać zdalne wykonanie kodu na serwerze, co może prowadzić do pełnego przejęcia witryny.
Rekomendacja
Natychmiast usuń lub zastąp wtyczkę bezpieczniejszym rozwiązaniem, ponieważ nie jest dostępna łatka.
Oryginalny opis (angielski, źródło NVD)
The Personal QR Message WordPress plugin through 1.0 does not restrict the file types that can be uploaded through an unauthenticated handler, allowing unauthenticated users to upload arbitrary executable PHP files that are directly reachable, leading to remote code execution.