CVE-2026-87791
WysokieCVSS 8.7Streszczenie
W motywie WordPress "Design Scuole Italia" istnieje luka path traversal w funkcji reserved_file_check w pliku functions.php. Luka umożliwia nieuwierzytelnionemu atakującemu pobranie dowolnych plików dostępnych dla procesu serwera WWW.
Ocena ryzyka
Nieuwierzytelniony atakujący może pobrać dowolne pliki dostępne dla procesu serwera WWW, co może prowadzić do wycieku wrażliwych danych, w tym plików konfiguracyjnych.
Rekomendacja
Zaktualizuj motyw "Design Scuole Italia" do wersji zawierającej poprawkę lub zweryfikuj i zabezpiecz funkcję reserved_file_check w functions.php. Ogranicz uprawnienia procesu serwera WWW do niezbędnego minimum.
Inne podatności w Design Scuole Italia WordPress theme
Zobacz wszystkie- CVE-2026-89307Średnie
Funkcja "Firma Circolare" w motywie WordPress "Design Scuole Italia" umożliwia uwierzytelnionemu atakującemu wstrzyknięcie dowolnego kodu HTML przez parametr sign, co pozwala na wymuszone przekierowanie odwiedzających użytkowników na adres URL kontrolowany przez atakującego (Stored HTML Injection / Open Redirect).
- CVE-2026-87793Średnie
Motyw WordPress "Design Scuole Italia" jest podatny na odzwierciedlony XSS w pliku filters-scheda-didattica.php, co pozwala nieuwierzytelnionemu atakującemu na wykonanie dowolnego JavaScript w przeglądarce ofiary poprzez spreparowany URL zawierający złośliwy parametr archive.
- CVE-2026-87792Wysokie
Motyw WordPress "Design Scuole Italia" jest podatny na wiele luk obejścia autoryzacji w funkcjach dsi_pdf_generator i dsi_csv_generator, umożliwiając nieuwierzytelnionemu atakującemu dostęp do zastrzeżonych treści "Circolare" oraz danych zarejestrowanych użytkowników. Eksploatację ułatwia nieuwierzytelniony kanał RSS pod /circolare/feed/.
Oryginalny opis (angielski, źródło NVD)
A path traversal vulnerability exists in the reserved_file_check function of the functions.php file in the WordPress Design Scuole Italia theme. The vulnerability allows an unauthenticated attacker to download arbitrary files accessible by the web server process.