CVE-2026-58480
KrytyczneCVSS 9.8Streszczenie
Wtyczka Blocksy Companion Pro dla WordPressa przed wersją 2.1.47 zawiera nieuwierzytelnioną podatność na dowolne przesyłanie plików, umożliwiającą atakującym wgrywanie plików wykonywalnych poprzez ominięcie walidacji rozszerzeń w funkcji save_attachments udostępnionej przez funkcję Advanced Reviews. Atakujący mogą wykorzystać wadliwe sprawdzanie podciągów strpos() w rozszerzeniu Custom Fonts, przesyłając pliki z podwójnym rozszerzeniem, np. shell.woff2.php, co powoduje przejście walidacji na podstawie dopasowania podciągu, podczas gdy serwer WWW wykonuje plik jako PHP, umożliwiając zdalne wykonanie kodu.
Ocena ryzyka
Ryzyko dla organizacji obejmuje całkowite przejęcie kontroli nad serwerem WordPress, kradzież danych, modyfikację treści oraz wykorzystanie serwera do dalszych ataków, ponieważ atakujący może uzyskać zdalne wykonanie kodu bez uwierzytelniania.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Blocksy Companion Pro do wersji 2.1.47 lub nowszej, a także sprawdzić, czy na serwerze nie znajdują się podejrzane pliki o podwójnym rozszerzeniu w katalogach przesyłania.
Oryginalny opis (angielski, źródło NVD)
Blocksy Companion Pro plugin for WordPress before 2.1.47 contains an unauthenticated arbitrary file upload vulnerability that allows attackers to upload executable files by bypassing extension validation in the save_attachments function exposed through the Advanced Reviews feature. Attackers can exploit the Custom Fonts extension's flawed strpos() substring check by uploading double-extension filenames such as shell.woff2.php, causing the validation to pass on the substring match while the web server executes the file as PHP, achieving remote code execution.