CVE-2026-94503

KrytyczneCVSS 10.0

Opublikowano: 09/10/2026(UTC)Przetłumaczono: 09/10/2026(UTC)NVD NIST

Streszczenie

Wtyczka Zombify (do wersji 1.7.7) zawiera podatność typu Unrestricted Upload of File with Dangerous Type, która pozwala na przesłanie i wykonanie złośliwego skryptu (web shell) na serwerze.

Ocena ryzyka

Atakujący może przesłać złośliwy plik i uzyskać zdalne wykonanie kodu, co prowadzi do pełnej kompromitacji serwera.

Rekomendacja

Zaktualizuj wtyczkę Zombify do najnowszej wersji, która naprawia podatność. Jeśli aktualizacja nie jest możliwa, rozważ wyłączenie wtyczki do czasu jej naprawienia.

Inne podatności w Zombify

CVE-2025-8385Średnie
Wtyczka Zombify dla WordPressa do wersji 1.7.5 włącznie jest podatna na Path Traversal z powodu niewystarczającej walidacji wejścia w funkcji zf_get_file_by_url. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym odczyt dowolnych plików na serwerze, w tym wrażliwych plików systemowych jak /etc/passwd, poprzez spreparowane żądanie. Skuteczne wykorzystanie zależy od wyścigu (race condition), ponieważ wygenerowany plik jest natychmiast usuwany.

Oryginalny opis (angielski, źródło NVD)

Unrestricted Upload of File with Dangerous Type vulnerability in PX-lab Zombify zombify allows Upload a Web Shell to a Web Server.This issue affects Zombify: from n/a through 1.7.7.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS