CVE-2026-17540
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Wtyczka File Manager dla WordPressa przed wersją 6.9.1 nie autoryzuje poprawnie swoich poleceń zarządzania plikami. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, odczyt i usuwanie dowolnych plików w katalogu instalacji WordPressa, co może prowadzić do ujawnienia tajemnic konfiguracyjnych witryny oraz do odmowy usługi.
Ocena ryzyka
Uwierzytelniony atakujący może odczytać wrażliwe pliki konfiguracyjne lub usunąć krytyczne pliki, co może prowadzić do wycieku danych i przerwania działania witryny.
Rekomendacja
Zaktualizuj wtyczkę File Manager do wersji 6.9.1 lub nowszej, która zawiera poprawki autoryzacji poleceń zarządzania plikami.
Inne podatności w File Manager
Zobacz wszystkie- CVE-2026-17542Wysokie
Wtyczka File Manager dla WordPressa przed wersją 6.9.1 nie przeprowadza żadnej kontroli uprawnień na jednym z punktów końcowych menedżera plików. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, przeglądanie całego katalogu instalacji WordPressa i pobieranie z niego plików określonych typów, w tym archiwów i dokumentów, które mogą zawierać wrażliwe dane.
- CVE-2026-17541Wysokie
Wtyczka File Manager dla WordPressa przed wersją 6.9.1 nie ma kontroli autoryzacji na jednej ze swoich tras REST API. Umożliwia to nieuwierzytelnionym użytkownikom odczyt dziennika aktywności plików, ujawniając operacje na plikach wykonane na stronie, ścieżki oraz nazwę użytkownika, który je wykonał.
Oryginalny opis (angielski, źródło NVD)
The File Manager WordPress plugin before 6.9.1 does not properly authorise its file management commands, allowing any authenticated user, such as a subscriber, to read and delete arbitrary files under the WordPress installation directory, which could lead to the disclosure of the site's configuration secrets and to denial of service.