CVE-2026-82194
NieznaneStreszczenie
Wtyczka WPvivid — Backup, Migration & Staging dla WordPressa przed wersją 0.9.134 nie weryfikuje ścieżki podanej przez użytkownika przed użyciem jej w procedurze usuwania plików. Administratorzy mogą usuwać dowolne pliki na serwerze, w tym poza katalogiem głównym witryny.
Ocena ryzyka
Administrator (lub osoba, która przejęła konto administratora) może usunąć krytyczne pliki systemowe, co może doprowadzić do całkowitego unieruchomienia serwisu lub naruszenia integralności systemu.
Rekomendacja
Zaktualizuj wtyczkę WPvivid do wersji 0.9.134 lub nowszej, która zawiera poprawkę.
Inne podatności w WPvivid
Zobacz wszystkie- CVE-2026-82193Nieznane
Wtyczka WPvivid — Backup, Migration & Staging dla WordPressa przed wersją 0.9.134 nie weryfikuje nazwy pliku podanej przez użytkownika przed użyciem jej do skonstruowania ścieżki zapisu. Administratorzy mogą zapisywać pliki dozwolonych typów w dowolnych lokalizacjach na serwerze oraz nadpisywać istniejące pliki.
- CVE-2026-82182Średnie
Wtyczka WordPress WPvivid — Backup, Migration & Staging przed wersją 0.9.133 nie sanityzuje listy identyfikatorów dostarczonej przez użytkownika przed użyciem jej w zapytaniu SQL, co pozwala administratorom na przeprowadzanie ataków SQL injection.
- CVE-2026-19722Średnie
Wtyczka WPvivid — Backup, Migration & Staging dla WordPressa przed wersją 0.9.133 nie weryfikuje miejsca docelowego plików wyodrębnianych z pakietu kopii zapasowej podczas przywracania, co pozwala użytkownikom z wysokimi uprawnieniami, takim jak administratorzy, na zapisywanie dowolnych plików poza zamierzonym katalogiem przywracania, co może prowadzić do wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
The WPvivid — Backup, Migration & Staging WordPress plugin before 0.9.134 does not validate a user supplied path before using it in a file deletion routine, allowing administrators to delete arbitrary files on the server, including files outside the web root.