CVE-2026-16616
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
Wtyczka Simple File List dla WordPressa do wersji 6.3.11 nie weryfikuje ścieżki źródłowej operacji przenoszenia plików dostępnej dla nieuwierzytelnionych użytkowników, co pozwala im na odczyt dowolnych plików na serwerze oraz przenoszenie krytycznych plików poza katalog główny, prowadząc do ujawnienia wrażliwych informacji i potencjalnego przejęcia witryny.
Ocena ryzyka
Ujawnienie wrażliwych plików i możliwość przenoszenia krytycznych plików może prowadzić do całkowitej kompromitacji serwera i przejęcia kontroli nad witryną.
Rekomendacja
Zaktualizuj wtyczkę Simple File List do wersji 6.3.12 lub nowszej, jeśli dostępna, lub ogranicz dostęp do funkcji przenoszenia plików.
Inne podatności w Simple File List
Zobacz wszystkie- CVE-2026-39792Wysokie
Wtyczka Simple File List w wersjach do 6.3.11 zawiera podatność typu Arbitrary File Deletion. Podatność może być wykorzystana przez nieuwierzytelnionego atakującego.
- CVE-2026-16617Wysokie
Wtyczka Simple File List dla WordPressa do wersji 6.3.11 nie odpowiednio sanityzuje i nie escapuje opisu pliku przed wyświetleniem go na publicznej liście plików, co pozwala nieuwierzytelnionym użytkownikom (gdy zarządzanie plikami od strony frontendu jest włączone) na przeprowadzenie ataków Stored Cross-Site Scripting, które wykonują się w przeglądarce każdego odwiedzającego listę.
- CVE-2026-57382Wysokie
Wtyczka Simple File List dla WordPressa zawiera podatność na odbity atak XSS (Cross-Site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Luka występuje we wszystkich wersjach do 6.3.8 włącznie.
- CVE-2025-68591Średnie
Brak autoryzacji w Simple File List (do wersji 6.1.18) umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
The Simple File List WordPress plugin through 6.3.11 does not validate the source path of a file-move operation reachable by unauthenticated users, allowing them to read arbitrary files on the server and to relocate critical files out of the web root, leading to sensitive information disclosure and potential site takeover.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS