CVE-2026-49112
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Wersje Shared Files do 1.7.64 zawierają podatność na nieautoryzowany atak typu Path Traversal, co pozwala atakującemu na dostęp do plików systemowych.
Ocena ryzyka
Organizacje mogą być narażone na wyciek danych lub nieautoryzowany dostęp do wrażliwych informacji przechowywanych na serwerze.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Shared Files, aby usunąć tę podatność.
Inne podatności w Shared Files
Zobacz wszystkie- CVE-2026-78269Średnie
Podatność SSRF (Server Side Request Forgery) w wtyczce Shared Files w wersjach do 1.7.69, dotykająca użytkowników z rolą kontrybutora. Umożliwia wysyłanie żądań z serwera do wewnętrznych zasobów.
- CVE-2026-12514Średnie
Wtyczki Shared Files (do 1.7.67) i Shared Files Pro (do 1.7.70) dla WordPressa nie przeprowadzają kontroli uprawnień w handlerze przesyłania plików, który jest zarejestrowany dla nieuwierzytelnionych użytkowników i chroniony tylko nonce wyświetlanym na publicznych stronach. Niezalogowany gość może przesyłać pliki do publicznie dostępnego katalogu i odczytać bezwzględną ścieżkę serwera z odpowiedzi. Przesyłane pliki są ograniczone do dozwolonych typów MIME WordPressa, więc nie można przesłać wykonywalnego PHP.
- CVE-2026-12513Średnie
Wtyczki Shared Files (do 1.7.67) i Shared Files Pro (do 1.7.68) dla WordPressa nieprawidłowo sanityzują ścieżkę pliku pochodzącą z frontendowego przesyłania plików, a ich jednoprzebiegowy filtr traversal jest możliwy do obejścia. Nieuwierzytelnieni użytkownicy mogą zapisać ścieżkę wskazującą poza katalog uploads. Gdy odpowiedni wpis pliku zostanie później trwale usunięty, dowolny plik na serwerze (np. wp-config.php) zostanie usunięty, co prowadzi do odmowy usługi i potencjalnego przejęcia witryny.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Path Traversal in Shared Files <= 1.7.64 versions.