CVE-2026-82193
NieznaneStreszczenie
Wtyczka WPvivid — Backup, Migration & Staging dla WordPressa przed wersją 0.9.134 nie weryfikuje nazwy pliku podanej przez użytkownika przed użyciem jej do skonstruowania ścieżki zapisu. Administratorzy mogą zapisywać pliki dozwolonych typów w dowolnych lokalizacjach na serwerze oraz nadpisywać istniejące pliki.
Ocena ryzyka
Administrator może nadpisać ważne pliki (np. pliki konfiguracyjne) lub umieścić złośliwe pliki w newralgicznych katalogach, co może prowadzić do przejęcia kontroli nad serwerem lub naruszenia integralności aplikacji.
Rekomendacja
Zaktualizuj wtyczkę WPvivid do wersji 0.9.134 lub nowszej, która zawiera poprawkę.
Inne podatności w WPvivid
Zobacz wszystkie- CVE-2026-82194Nieznane
Wtyczka WPvivid — Backup, Migration & Staging dla WordPressa przed wersją 0.9.134 nie weryfikuje ścieżki podanej przez użytkownika przed użyciem jej w procedurze usuwania plików. Administratorzy mogą usuwać dowolne pliki na serwerze, w tym poza katalogiem głównym witryny.
- CVE-2026-82182Średnie
Wtyczka WordPress WPvivid — Backup, Migration & Staging przed wersją 0.9.133 nie sanityzuje listy identyfikatorów dostarczonej przez użytkownika przed użyciem jej w zapytaniu SQL, co pozwala administratorom na przeprowadzanie ataków SQL injection.
- CVE-2026-19722Średnie
Wtyczka WPvivid — Backup, Migration & Staging dla WordPressa przed wersją 0.9.133 nie weryfikuje miejsca docelowego plików wyodrębnianych z pakietu kopii zapasowej podczas przywracania, co pozwala użytkownikom z wysokimi uprawnieniami, takim jak administratorzy, na zapisywanie dowolnych plików poza zamierzonym katalogiem przywracania, co może prowadzić do wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
The WPvivid — Backup, Migration & Staging WordPress plugin before 0.9.134 does not validate a user supplied file name before using it to build a write path, allowing administrators to write files of permitted types to arbitrary locations on the server and to overwrite existing files.