CVE-2026-17542
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Wtyczka File Manager dla WordPressa przed wersją 6.9.1 nie przeprowadza żadnej kontroli uprawnień na jednym z punktów końcowych menedżera plików. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, przeglądanie całego katalogu instalacji WordPressa i pobieranie z niego plików określonych typów, w tym archiwów i dokumentów, które mogą zawierać wrażliwe dane.
Ocena ryzyka
Uwierzytelniony atakujący może uzyskać dostęp do wrażliwych plików, takich jak archiwa i dokumenty, co może prowadzić do wycieku danych.
Rekomendacja
Zaktualizuj wtyczkę File Manager do wersji 6.9.1 lub nowszej, która zawiera poprawki kontroli uprawnień.
Inne podatności w File Manager
Zobacz wszystkie- CVE-2026-17541Wysokie
Wtyczka File Manager dla WordPressa przed wersją 6.9.1 nie ma kontroli autoryzacji na jednej ze swoich tras REST API. Umożliwia to nieuwierzytelnionym użytkownikom odczyt dziennika aktywności plików, ujawniając operacje na plikach wykonane na stronie, ścieżki oraz nazwę użytkownika, który je wykonał.
- CVE-2026-17540Wysokie
Wtyczka File Manager dla WordPressa przed wersją 6.9.1 nie autoryzuje poprawnie swoich poleceń zarządzania plikami. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, odczyt i usuwanie dowolnych plików w katalogu instalacji WordPressa, co może prowadzić do ujawnienia tajemnic konfiguracyjnych witryny oraz do odmowy usługi.
Oryginalny opis (angielski, źródło NVD)
The File Manager WordPress plugin before 6.9.1 does not perform any capability check on one of its file manager connector endpoints, allowing any authenticated user, such as a subscriber, to browse the entire WordPress installation directory and download files of certain types from it, including archives and documents which may contain sensitive data.