CVE-2026-5581
KrytyczneCVSS 9.1Streszczenie
Wtyczka Multi Uploader for Gravity Forms dla WordPressa jest podatna na nieautoryzowane usuwanie dowolnych multimediów we wszystkich wersjach do 1.1.8 włącznie. Wynika to z braku kontroli uprawnień w funkcji `plupload_ajax_delete_file()`, która jest zarejestrowana przez `wp_ajax_nopriv_gfmu_delete_file`. Nonce przeznaczony do ochrony CSRF jest ujawniany na każdej publicznej stronie zawierającej pole formularza multi-uploader przez obiekt JavaScript `GFMU_options`. Umożliwia to nieuwierzytelnionym atakującym trwałe usunięcie dowolnego załącznika multimediów WordPressa poprzez podanie jego ID, co może prowadzić do całkowitego zniszczenia biblioteki multimediów.
Ocena ryzyka
Nieautoryzowane usuwanie multimediów może doprowadzić do utraty wszystkich plików w bibliotece, co wpływa na integralność treści i może zakłócić działanie strony.
Rekomendacja
Zaktualizuj wtyczkę do najnowszej wersji, jeśli dostępna jest poprawka. Jeśli nie, tymczasowo wyłącz wtyczkę lub ogranicz dostęp do niej. Dodatkowo sprawdź, czy funkcja usuwania wymaga odpowiednich uprawnień i nie jest dostępna dla niezalogowanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The Multi Uploader for Gravity Forms plugin for WordPress is vulnerable to unauthorized arbitrary media deletion in all versions up to, and including, 1.1.8. This is due to missing capability checks in the `plupload_ajax_delete_file()` function, which is registered via `wp_ajax_nopriv_gfmu_delete_file`. The nonce intended for CSRF protection is exposed on any public-facing page containing a multi-uploader form field via the `GFMU_options` JavaScript object. This makes it possible for unauthenticated attackers to permanently delete any WordPress media attachment by supplying its attachment ID, potentially leading to complete media library destruction.