CVE-2026-19089
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wtyczka Product Input Fields for WooCommerce przed wersją 2.0.2 nie weryfikuje typów przesyłanych plików, gdy ustawienie akceptowanych typów jest puste, co według dokumentacji oznacza akceptację wszystkich plików. Pozwala to nieuwierzytelnionym atakującym na przesyłanie dowolnych plików i zdalne wykonanie kodu na serwerach, które nie honorują reguł dostępu do katalogu.
Ocena ryzyka
Atakujący może przejąć kontrolę nad serwerem poprzez przesłanie złośliwego pliku, co prowadzi do pełnej kompromitacji witryny i danych.
Rekomendacja
Zaktualizuj wtyczkę do wersji 2.0.2 lub nowszej oraz skonfiguruj reguły dostępu do katalogów, aby uniemożliwić wykonywanie przesłanych plików.
Oryginalny opis (angielski, źródło NVD)
The Product Input Fields for WooCommerce WordPress plugin before 2.0.2 does not validate uploaded file types when its accepted-types setting is left empty, which its own documentation advertises as accepting all files, allowing unauthenticated attackers to upload arbitrary files and achieve remote code execution on servers that do not honour the directory's access rules.