CVE-2026-3666
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
Wtyczka wpForo Forum dla WordPressa do wersji 2.4.16 ma podatność na usuwanie dowolnych plików. Brak walidacji ścieżki pliku pozwala uwierzytelnionym użytkownikom z dostępem na poziomie subskrybenta i wyższym na usuwanie dowolnych plików na serwerze poprzez osadzenie spreparowanej ścieżki w treści posta na forum, a następnie usunięcie posta.
Ocena ryzyka
Atakujący może usunąć krytyczne pliki systemowe, takie jak pliki konfiguracyjne, co może doprowadzić do całkowitego zniszczenia strony lub przejęcia kontroli nad serwerem.
Rekomendacja
Należy zaktualizować wtyczkę wpForo Forum do najnowszej wersji, która zawiera poprawkę.
Inne podatności w wpForo Forum
Zobacz wszystkie- CVE-2026-49767Krytyczne
W wpForo Forum w wersjach do 3.1.0 występuje luka związana z nieautoryzowanym złamaniem uwierzytelniania.
- CVE-2026-49769Krytyczne
W wpForo Forum w wersjach do 3.1.0 występuje podatność na nieautoryzowaną iniekcję obiektów PHP.
- CVE-2026-40798Krytyczne
W wpForo Forum w wersjach do 3.0.4 występuje podatność na nieautoryzowaną iniekcję SQL.
- CVE-2026-42682Krytyczne
Wtyczka wpForo Forum dla WordPressa ma brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
- CVE-2026-5097Wysokie
Wtyczka wpForo Forum dla WordPressa do wersji 2.4.17 włącznie jest podatna na SQL Injection przez parametr 'referer'. Brak odpowiedniego escapowania i przygotowania zapytań SQL pozwala niezautoryzowanym atakującym na dołączanie dodatkowych zapytań, co może prowadzić do wyciągnięcia wrażliwych informacji z bazy danych.
- CVE-2026-12698Średnie
Wtyczka wpForo Forum dla WordPressa przed wersją 3.1.3 nie ogranicza, które pola profilu może ustawić członek podczas edycji własnego konta. Umożliwia to użytkownikom z kontem na poziomie subskrybenta zapisywanie pól stanu konta i reputacji kontrolowanych przez administratora na własnym profilu, w tym samodzielną aktywację konta oczekującego lub zbanowanego oraz fałszowanie wyniku reputacji na forum.
- CVE-2026-12696Średnie
Wtyczka wpForo Forum do WordPressa przed wersją 3.1.2 nie oczyszcza i nie koduje pola profilu użytkownika przed wyświetleniem go w atrybucie HTML na publicznej stronie profilu, co pozwala użytkownikom z kontem subskrybenta na wstrzyknięcie JavaScriptu wykonywanego w przeglądarce każdego odwiedzającego profil, w tym zalogowanego administratora.
- CVE-2026-12697Średnie
Wtyczka wpForo Forum dla WordPressa przed wersją 3.1.2 nie weryfikuje, czy rozmowa AI chat należy do żądającego użytkownika przed usunięciem jej wiadomości. Pozwala to użytkownikom z kontem na poziomie subskrybenta na trwałe usunięcie historii wiadomości AI chat dowolnego innego użytkownika.
- CVE-2026-15021Średnie
Wtyczka wpForo Forum dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez pole profilu 'location' we wszystkich wersjach do 3.1.1 włącznie. Podatność wynika z niewystarczającej sanityzacji wejścia i braku kodowania wyjścia, co pozwala uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym na wstrzyknięcie dowolnych skryptów webowych.
- CVE-2026-57636Wysokie
Wtyczka wpForo Forum w wersji 3.0.9 i starszych zawiera podatność na wstrzykiwanie SQL przez współtwórców. Atakujący z uprawnieniami współtwórcy może wstrzyknąć złośliwe zapytania SQL, co może prowadzić do nieautoryzowanego dostępu do bazy danych.
Oryginalny opis (angielski, źródło NVD)
The wpForo Forum plugin for WordPress is vulnerable to arbitrary file deletion in all versions up to, and including, 2.4.16. This is due to a missing file name/path validation against path traversal sequences. This makes it possible for authenticated attackers, with subscriber level access and above, to delete arbitrary files on the server by embedding a crafted path traversal string in a forum post body and then deleting the post.