CVE-2026-73033
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 48 - wyżej niż 48% wszystkich znanych CVE
Streszczenie
Wtyczka Sucuri Security WordPress do wersji 2.7.3 zawiera podatność na path traversal w metodzie pageIntegritySubmission() w src/integrity.lib.php, która pozwala uwierzytelnionym administratorom usuwać dowolne pliki poprzez podanie sekwencji traversal w parametrze sucuriscan_integrity. Atakujący może manipulować niesanityzowaną ścieżką połączoną z ABSPATH, aby wyjść poza katalog WordPressa i wywołać unlink() na wrażliwych plikach, takich jak wp-config.php i .htaccess, powodując awarię strony lub umożliwiając złośliwą reinstalację.
Ocena ryzyka
Ryzyko usunięcia krytycznych plików, co może prowadzić do całkowitej awarii strony internetowej lub umożliwić atakującemu przejęcie kontroli nad instalacją.
Rekomendacja
Zaktualizuj wtyczkę Sucuri Security do wersji nowszej niż 2.7.3, w której naprawiono tę podatność. Ogranicz uprawnienia administratorów i monitoruj działania związane z integralnością plików.
Oryginalny opis (angielski, źródło NVD)
Sucuri Security WordPress plugin through version 2.7.3 contains a path traversal vulnerability in the pageIntegritySubmission() method in src/integrity.lib.php that allows authenticated administrators to delete arbitrary files by supplying directory traversal sequences in the sucuriscan_integrity parameter. Attackers can manipulate the unsanitized file path concatenated with ABSPATH to traverse outside the WordPress installation directory and invoke unlink() on sensitive files such as wp-config.php and .htaccess, causing site outage or enabling malicious reinstallation.