CVE-2026-85081

WysokieCVSS 7.5

Opublikowano: 26/09/2026(UTC)Zaktualizowano: 28/09/2026(UTC)Przetłumaczono: 26/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

Wtyczki WordPress File Manager przed 8.0.5, FileOrganizer przed 1.2.1 oraz File Manager Pro przed 2.1.3 nieprawidłowo walidują pochodzenie komunikatów okna odbieranych przez przeglądarkę plików ładowaną na ekranach administracyjnych. Akceptują dowolne pochodzenie będące przedrostkiem adresu witryny, co pozwala nieuwierzytelnionemu atakującemu uruchomić dowolny JavaScript w sesji zalogowanego administratora odwiedzającego stronę pod jego kontrolą. Wada leży w bibliotece file-manager dołączanej przez wszystkie trzy wtyczki i występuje w każdej wersji poniżej 2.1.70.

Ocena ryzyka

Nieuwierzytelniony atakujący może wykonać dowolny JavaScript w sesji administratora, co prowadzi do przejęcia konta administracyjnego i pełnej kontroli nad witryną. Ryzyko jest krytyczne, ponieważ nie wymaga uwierzytelnienia ani interakcji poza odwiedzeniem strony przez administratora.

Rekomendacja

Zaktualizuj wtyczki File Manager do 8.0.5, FileOrganizer do 1.2.1 i File Manager Pro do 2.1.3 lub nowszych, co podnosi dołączoną bibliotekę do wersji 2.1.70. Zweryfikuj, czy dołączona biblioteka file-manager jest w wersji co najmniej 2.1.70.

Inne podatności w File Manager WordPress plugin

CVE-2026-19708Średnie
Wtyczka WordPress File Manager przed wersją 8.0.5 nie blokuje nieuwierzytelnionym użytkownikom pobierania archiwów kopii zapasowych bazy danych, a w niektórych przypadkach zapisuje je pod stałą nazwą pliku. Umożliwia to nieuwierzytelnionym atakującym pobranie pełnego zrzutu bazy danych, w tym adresów e-mail i hashy haseł wszystkich użytkowników, na serwerach, które nie stosują pliku .htaccess katalogu.

Oryginalny opis (angielski, źródło NVD)

The File Manager WordPress plugin before 8.0.5, FileOrganizer WordPress plugin before 1.2.1, File Manager Pro WordPress plugin before 2.1.3 do not correctly validate the origin of window messages received by the file browser they load on their admin screens, accepting any origin that is a leading string prefix of the site's own address, which allows an unauthenticated attacker to run arbitrary JavaScript in the session of a logged-in administrator who visits a page under their control. The defect is in the file-manager library all three bundle, and every version below 2.1.70 carries it. Updating the bundled library closes it.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS