CVE-2026-78269
ŚrednieCVSS 6.4Streszczenie
Podatność SSRF (Server Side Request Forgery) w wtyczce Shared Files w wersjach do 1.7.69, dotykająca użytkowników z rolą kontrybutora. Umożliwia wysyłanie żądań z serwera do wewnętrznych zasobów.
Ocena ryzyka
Ryzyko dostępu do wewnętrznych systemów lub usług, co może prowadzić do ujawnienia wrażliwych informacji lub dalszych ataków.
Rekomendacja
Zaktualizuj wtyczkę Shared Files do najnowszej wersji, która zawiera poprawkę.
Inne podatności w Shared Files
Zobacz wszystkie- CVE-2026-12514Średnie
Wtyczki Shared Files (do 1.7.67) i Shared Files Pro (do 1.7.70) dla WordPressa nie przeprowadzają kontroli uprawnień w handlerze przesyłania plików, który jest zarejestrowany dla nieuwierzytelnionych użytkowników i chroniony tylko nonce wyświetlanym na publicznych stronach. Niezalogowany gość może przesyłać pliki do publicznie dostępnego katalogu i odczytać bezwzględną ścieżkę serwera z odpowiedzi. Przesyłane pliki są ograniczone do dozwolonych typów MIME WordPressa, więc nie można przesłać wykonywalnego PHP.
- CVE-2026-12513Średnie
Wtyczki Shared Files (do 1.7.67) i Shared Files Pro (do 1.7.68) dla WordPressa nieprawidłowo sanityzują ścieżkę pliku pochodzącą z frontendowego przesyłania plików, a ich jednoprzebiegowy filtr traversal jest możliwy do obejścia. Nieuwierzytelnieni użytkownicy mogą zapisać ścieżkę wskazującą poza katalog uploads. Gdy odpowiedni wpis pliku zostanie później trwale usunięty, dowolny plik na serwerze (np. wp-config.php) zostanie usunięty, co prowadzi do odmowy usługi i potencjalnego przejęcia witryny.
- CVE-2026-49112Wysokie
Wersje Shared Files do 1.7.64 zawierają podatność na nieautoryzowany atak typu Path Traversal, co pozwala atakującemu na dostęp do plików systemowych.
Oryginalny opis (angielski, źródło NVD)
Contributor Server Side Request Forgery (SSRF) in Shared Files <= 1.7.69 versions.