CVE-2026-94538

Wtyczka WP File Download dla WordPressa jest podatna na Directory Traversal we wszystkich wersjach do 6.3.8 włącznie przez parametr 'remoteurl'. Podatność umożliwia uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym odczyt zawartości dowolnych plików na serwerze, które mogą zawierać wrażliwe informacje. Atakujący najpierw zatruwa meta posta _wpfd_file_metadata['file'] przez niezabezpieczony handler file.save, a następnie endpoint strumieniowania, zarejestrowany na init bez wymagań autoryzacji, udostępnia pliki każdemu, w tym nieuwierzytelnionym gościom.

Wtyczka WP File Download dla WordPressa jest podatna na dowolne usuwanie plików z powodu niewystarczającej walidacji ścieżki pliku w funkcji delete we wszystkich wersjach. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyższym mogą usuwać dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu, gdy usunięty zostanie odpowiedni plik (np. wp-config.php). Exploit wymaga dwóch żądań: najpierw do zadania file.save w celu zapisania ciągu path traversal w metadanych pliku, a następnie do zadania file.delete w celu wywołania funkcji unlink — oba punkty końcowe nie mają kontroli uprawnień ani nonce.