CVE-2026-16940
KrytyczneCVSS 10.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wtyczka Custom Fields dla WordPressa przed wersją 1.5.1 nie weryfikuje ścieżki pliku podanej przez użytkownika przed usunięciem, co pozwala nieuwierzytelnionym użytkownikom na usuwanie dowolnych plików na serwerze (takich jak wp-config.php), co może prowadzić do całkowitego przejęcia strony.
Ocena ryzyka
Ryzyko jest krytyczne, ponieważ atakujący bez uwierzytelnienia może usunąć kluczowe pliki, co może doprowadzić do całkowitego przejęcia kontroli nad witryną.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Custom Fields do wersji 1.5.1 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
The Custom Fields WordPress plugin before 1.5.1 does not validate a user-supplied file path before deletion, allowing unauthenticated users to delete arbitrary files on the server (such as wp-config.php), which can lead to a full site takeover.