CVE-2026-40779
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
W wersjach Link Library do 7.8.8 występuje podatność umożliwiająca nieautoryzowane usunięcie plików przez użytkowników z odpowiednimi uprawnieniami.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do usunięcia krytycznych plików, co może prowadzić do utraty danych i zakłócenia działania systemu.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Link Library, aby usunąć tę podatność.
Inne podatności w Link Library
Zobacz wszystkie- CVE-2026-18855Krytyczne
Wtyczka Link Library dla WordPressa jest podatna na dowolne usuwanie plików z powodu niewystarczającej walidacji ścieżek w funkcji ll_delete_link_fields we wszystkich wersjach do 7.9.4 włącznie. Umożliwia to nieuwierzytelnionym atakującym usuwanie dowolnych plików na serwerze, co może prowadzić do zdalnego wykonania kodu, gdy usunięty zostanie odpowiedni plik (np. wp-config.php). Wykorzystanie wymaga, aby administrator włączył opcję 'Delete local file on link deletion' (domyślnie wyłączoną) i następnie trwale usunął link przesłany przez atakującego, co jest rutynową czynnością moderacyjną.
- CVE-2026-16532Krytyczne
Wtyczka WordPress 'Link Library' przed wersją 7.9.3 nieprawidłowo oczyszcza i zabezpiecza wartość dostarczoną przez użytkownika przed użyciem jej w zapytaniu SQL, co pozwala niezalogowanym użytkownikom na przeprowadzanie ataków SQL Injection.
- CVE-2026-16535Średnie
Wtyczka Link Library dla WordPressa przed wersją 7.9.4 nie sanityzuje i nie escapuje parametru przed odzwierciedleniem go w odpowiedzi, co pozwala nieuwierzytelnionym atakującym przeprowadzać ataki Reflected Cross-Site Scripting na użytkowników, którzy zostaną nakłonieni do wykonania akcji.
Oryginalny opis (angielski, źródło NVD)
Contributor Arbitrary File Deletion in Link Library <= 7.8.8 versions.