CVE-2026-19708

ŚrednieCVSS 5.9

Opublikowano: 26/09/2026(UTC)Zaktualizowano: 28/09/2026(UTC)Przetłumaczono: 26/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress File Manager przed wersją 8.0.5 nie blokuje nieuwierzytelnionym użytkownikom pobierania archiwów kopii zapasowych bazy danych, a w niektórych przypadkach zapisuje je pod stałą nazwą pliku. Umożliwia to nieuwierzytelnionym atakującym pobranie pełnego zrzutu bazy danych, w tym adresów e-mail i hashy haseł wszystkich użytkowników, na serwerach, które nie stosują pliku .htaccess katalogu.

Ocena ryzyka

Nieuwierzytelniony atakujący może pobrać pełny zrzut bazy danych z hashami haseł i adresami e-mail, co umożliwia dalsze ataki i przejęcie kont. Ryzyko jest krytyczne na serwerach bez ochrony .htaccess.

Rekomendacja

Zaktualizuj wtyczkę File Manager do wersji 8.0.5 lub nowszej. Upewnij się, że katalogi kopii zapasowych są chronione przez .htaccess lub znajdują się poza katalogiem publicznym.

Inne podatności w File Manager WordPress plugin

CVE-2026-85081Wysokie
Wtyczki WordPress File Manager przed 8.0.5, FileOrganizer przed 1.2.1 oraz File Manager Pro przed 2.1.3 nieprawidłowo walidują pochodzenie komunikatów okna odbieranych przez przeglądarkę plików ładowaną na ekranach administracyjnych. Akceptują dowolne pochodzenie będące przedrostkiem adresu witryny, co pozwala nieuwierzytelnionemu atakującemu uruchomić dowolny JavaScript w sesji zalogowanego administratora odwiedzającego stronę pod jego kontrolą. Wada leży w bibliotece file-manager dołączanej przez wszystkie trzy wtyczki i występuje w każdej wersji poniżej 2.1.70.

Oryginalny opis (angielski, źródło NVD)

The File Manager WordPress plugin before 8.0.5 does not prevent unauthenticated users from downloading its database backup archives, and in some cases writes them under a fixed filename, allowing unauthenticated attackers to retrieve a full database dump including every user's email address and password hash on servers that do not apply the directory's .htaccess file.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS