CVE-2026-17541
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Wtyczka File Manager dla WordPressa przed wersją 6.9.1 nie ma kontroli autoryzacji na jednej ze swoich tras REST API. Umożliwia to nieuwierzytelnionym użytkownikom odczyt dziennika aktywności plików, ujawniając operacje na plikach wykonane na stronie, ścieżki oraz nazwę użytkownika, który je wykonał.
Ocena ryzyka
Ujawnienie dziennika aktywności plików może pomóc atakującemu w rozpoznaniu struktury witryny i działań użytkowników, co może ułatwić dalsze ataki.
Rekomendacja
Zaktualizuj wtyczkę File Manager do wersji 6.9.1 lub nowszej, która zawiera poprawki autoryzacji dla tras REST API.
Inne podatności w File Manager
Zobacz wszystkie- CVE-2026-17542Wysokie
Wtyczka File Manager dla WordPressa przed wersją 6.9.1 nie przeprowadza żadnej kontroli uprawnień na jednym z punktów końcowych menedżera plików. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, przeglądanie całego katalogu instalacji WordPressa i pobieranie z niego plików określonych typów, w tym archiwów i dokumentów, które mogą zawierać wrażliwe dane.
- CVE-2026-17540Wysokie
Wtyczka File Manager dla WordPressa przed wersją 6.9.1 nie autoryzuje poprawnie swoich poleceń zarządzania plikami. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, odczyt i usuwanie dowolnych plików w katalogu instalacji WordPressa, co może prowadzić do ujawnienia tajemnic konfiguracyjnych witryny oraz do odmowy usługi.
Oryginalny opis (angielski, źródło NVD)
The File Manager WordPress plugin before 6.9.1 does not have authorisation checks on one of its REST API routes, allowing unauthenticated users to read its file activity log, disclosing the file operations performed on the site, the paths involved and the name of the user who performed them.