CVE-2026-85576

ŚrednieCVSS 4.3

Opublikowano: 30/09/2026(UTC)Zaktualizowano: 30/09/2026(UTC)Przetłumaczono: 30/09/2026(UTC)NVD NIST

Streszczenie

Wtyczka All in One Files Upload dla WordPressa przed wersją 2.0.17 nie ma żadnej kontroli uprawnień i nie weryfikuje autentyczności żądania podczas zapisywania ustawień. Pozwala to każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, na ich zmianę.

Ocena ryzyka

Nieautoryzowana zmiana ustawień wtyczki może prowadzić do osłabienia bezpieczeństwa lub zakłócenia działania witryny.

Rekomendacja

Zaktualizuj wtyczkę All in One Files Upload do wersji 2.0.17 lub nowszej, aby dodać kontrolę uprawnień i weryfikację żądań.

Inne podatności w All in One Files Upload

CVE-2026-85573Wysokie
Wtyczka All in One Files Upload dla WordPressa przed wersją 2.0.17 dodaje SVG do dozwolonych typów przesyłanych plików i nie sanityzuje przesłanych plików ani nie weryfikuje autentyczności publicznych żądań przesyłania. Umożliwia to nieuwierzytelnionym użytkownikom przechowywanie plików zawierających aktywną treść, która wykonuje się w obrębie witryny, gdy ofiara je otworzy.

Oryginalny opis (angielski, źródło NVD)

The All in One Files Upload WordPress plugin before 2.0.17 does not have any capability check, and does not verify the authenticity of the request, when saving its settings, allowing any authenticated user, such as a subscriber, to change them.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS