CVE-2026-62129
KrytyczneCVSS 9.9Streszczenie
Podatność umożliwiająca dowolne przesyłanie plików przez użytkownika z rolą Contributor w wtyczce Creator LMS w wersjach do 1.2.21 włącznie. Użytkownik z niskimi uprawnieniami może przesłać dowolne pliki na serwer. Może to prowadzić do wykonania złośliwego kodu.
Ocena ryzyka
Atakujący z kontem Contributor może przesłać złośliwe pliki, co może skutkować zdalnym wykonaniem kodu i przejęciem serwera. Organizacje korzystające z tej wtyczki są narażone na eskalację uprawnień.
Rekomendacja
Zaktualizuj wtyczkę Creator LMS do najnowszej wersji, która nie zawiera podatności. Jeśli aktualizacja nie jest możliwa, ogranicz możliwość przesyłania plików przez użytkowników z rolą Contributor.
Inne podatności w Creator LMS
Zobacz wszystkie- CVE-2026-97244Wysokie
Wtyczka Creator LMS w wersjach do 1.2.19 włącznie zawiera podatność typu Path Traversal, którą może wykorzystać użytkownik z uprawnieniami Contributor.
- CVE-2026-62083Średnie
Wtyczka Creator LMS w wersji 1.2.19 i wcześniejszych zawiera podatność typu 'Inny typ podatności' z poziomu subskrybenta. Umożliwia to nieautoryzowane działania.
- CVE-2026-62128Średnie
Podatność polegająca na braku autoryzacji w Creator LMS umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Dotyczy wersji od n/a do 1.2.21.
- CVE-2025-69359Średnie
Wtyczka Creator LMS (WPFunnels) ma brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji Creator LMS od n/a do 1.1.12 włącznie.
Oryginalny opis (angielski, źródło NVD)
Contributor Arbitrary File Upload in Creator LMS <= 1.2.21 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS