CVE-2026-57789

WysokieCVSS 7.5

Opublikowano: 13/07/2026(UTC)Zaktualizowano: 13/07/2026(UTC)Przetłumaczono: 14/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.50%

Percentyl 39 - wyżej niż 39% wszystkich znanych CVE

Streszczenie

Wtyczka Aqua dla WordPressa zawiera podatność na lokalne dołączanie plików PHP (LFI) poprzez niekontrolowaną nazwę pliku w instrukcji include/require. Problem dotyczy wersji do 5.1.2 włącznie.

Ocena ryzyka

Atakujący może odczytać poufne pliki na serwerze (np. /etc/passwd) lub wykonać złośliwy kod, co prowadzi do przejęcia kontroli nad witryną.

Rekomendacja

Niezwłocznie zaktualizuj wtyczkę Aqua do najnowszej dostępnej wersji. Jeśli aktualizacja nie jest możliwa, rozważ tymczasowe wyłączenie wtyczki.

Inne podatności w Aqua

CVE-2026-55569Średnie
aqua to deklaratywny menedżer wersji CLI napisany w Go. Przed wersją 2.60.1, w pkg/unarchive/archives.go, metoda handler.HandleFile wywołuje os.Symlink bez weryfikacji, czy cel pozostaje w katalogu docelowym. Późniejszy wpis zwykłego pliku w tym samym archiwum jest otwierany z opcjami O_CREATE i O_WRONLY, co podąża za symlinkiem umieszczonym przez atakującego. Złośliwe lub skompromitowane archiwum może zapisać dane poza katalogiem ekstrakcji aqua z uprawnieniami użytkownika, potencjalnie nadpisując pliki startowe powłoki, konfiguracje narzędzi lub ścieżki wykonywalne. Problem naprawiono w wersji 2.60.1.

Oryginalny opis (angielski, źródło NVD)

Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in jwsthemes Aqua aqua allows PHP Local File Inclusion.This issue affects Aqua: from n/a through <= 5.1.2.