CVE-2026-6802

ŚrednieCVSS 5.3

Opublikowano: 10/07/2026(UTC)Zaktualizowano: 10/07/2026(UTC)Przetłumaczono: 11/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 15 - wyżej niż 15% wszystkich znanych CVE

Streszczenie

Wtyczka Easy Upload Files During Checkout dla WordPressa w wersjach do 3.0.1 włącznie zawiera lukę umożliwiającą nieautoryzowany dostęp. Funkcja ufdc_custom_init() przetwarza parametr 'eufdc-delete' bez weryfikacji nonce, sprawdzenia uprawnień ani walidacji własności załącznika, co pozwala nieuwierzytelnionym atakującym na trwałe usuwanie dowolnych załączników z biblioteki multimediów.

Ocena ryzyka

Organizacja narażona jest na utratę danych w postaci trwałego usunięcia plików multimedialnych, co może zakłócić działanie strony, usunąć ważne zasoby i wpłynąć na integralność treści.

Rekomendacja

Niezwłocznie zaktualizuj wtyczkę Easy Upload Files During Checkout do najnowszej dostępnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest dostępna, tymczasowo wyłącz wtyczkę.

Inne podatności w Easy Upload Files During Checkout

CVE-2025-62078Średnie
Wtyczka Easy Upload Files During Checkout do wersji 3.0.0 włącznie zawiera podatność polegającą na braku autoryzacji. Umożliwia ona wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Oryginalny opis (angielski, źródło NVD)

The Easy Upload Files During Checkout plugin for WordPress is vulnerable to unauthorized access in all versions up to, and including, 3.0.1. This is due to missing authorization checks in the ufdc_custom_init() function, which processes the 'eufdc-delete' parameter without any nonce verification, capability check, or attachment ownership validation. This makes it possible for unauthenticated attackers to permanently delete arbitrary media library attachments from the WordPress site.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS