CVE-2026-18855
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 66 - wyżej niż 66% wszystkich znanych CVE
Streszczenie
Wtyczka Link Library dla WordPressa jest podatna na dowolne usuwanie plików z powodu niewystarczającej walidacji ścieżek w funkcji ll_delete_link_fields we wszystkich wersjach do 7.9.4 włącznie. Umożliwia to nieuwierzytelnionym atakującym usuwanie dowolnych plików na serwerze, co może prowadzić do zdalnego wykonania kodu, gdy usunięty zostanie odpowiedni plik (np. wp-config.php). Wykorzystanie wymaga, aby administrator włączył opcję 'Delete local file on link deletion' (domyślnie wyłączoną) i następnie trwale usunął link przesłany przez atakującego, co jest rutynową czynnością moderacyjną.
Ocena ryzyka
Atakujący może usunąć krytyczne pliki na serwerze, co może prowadzić do całkowitej kompromitacji witryny, utraty danych lub zdalnego wykonania kodu.
Rekomendacja
Zaktualizuj wtyczkę Link Library do wersji nowszej niż 7.9.4, która zawiera poprawkę walidacji ścieżek w funkcji ll_delete_link_fields.
Inne podatności w Link Library
Zobacz wszystkie- CVE-2026-16532Krytyczne
Wtyczka WordPress 'Link Library' przed wersją 7.9.3 nieprawidłowo oczyszcza i zabezpiecza wartość dostarczoną przez użytkownika przed użyciem jej w zapytaniu SQL, co pozwala niezalogowanym użytkownikom na przeprowadzanie ataków SQL Injection.
- CVE-2026-16535Średnie
Wtyczka Link Library dla WordPressa przed wersją 7.9.4 nie sanityzuje i nie escapuje parametru przed odzwierciedleniem go w odpowiedzi, co pozwala nieuwierzytelnionym atakującym przeprowadzać ataki Reflected Cross-Site Scripting na użytkowników, którzy zostaną nakłonieni do wykonania akcji.
- CVE-2026-40779Wysokie
W wersjach Link Library do 7.8.8 występuje podatność umożliwiająca nieautoryzowane usunięcie plików przez użytkowników z odpowiednimi uprawnieniami.
Oryginalny opis (angielski, źródło NVD)
The Link Library plugin for WordPress is vulnerable to arbitrary file deletion due to insufficient file path validation in the ll_delete_link_fields function in all versions up to, and including, 7.9.4 This makes it possible for unauthenticated attackers to delete arbitrary files on the server, which can easily lead to remote code execution when the right file is deleted (such as wp-config.php). Exploitation requires the administrator to have enabled the 'Delete local file on link deletion' plugin option (disabled by default) and to subsequently permanently delete the attacker-submitted link, which is a routine moderation action.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS