Podatności File Manager

Wtyczka File Manager dla WordPressa przed wersją 6.9.1 nie przeprowadza żadnej kontroli uprawnień na jednym z punktów końcowych menedżera plików. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, przeglądanie całego katalogu instalacji WordPressa i pobieranie z niego plików określonych typów, w tym archiwów i dokumentów, które mogą zawierać wrażliwe dane.

Wtyczka File Manager dla WordPressa przed wersją 6.9.1 nie ma kontroli autoryzacji na jednej ze swoich tras REST API. Umożliwia to nieuwierzytelnionym użytkownikom odczyt dziennika aktywności plików, ujawniając operacje na plikach wykonane na stronie, ścieżki oraz nazwę użytkownika, który je wykonał.

Wtyczka File Manager dla WordPressa przed wersją 6.9.1 nie autoryzuje poprawnie swoich poleceń zarządzania plikami. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, odczyt i usuwanie dowolnych plików w katalogu instalacji WordPressa, co może prowadzić do ujawnienia tajemnic konfiguracyjnych witryny oraz do odmowy usługi.