CVE-2026-116617

Wtyczka Motors – Car Dealership & Classified Listings dla WordPressa jest podatna na usunięcie plików we wszystkich wersjach aż do 1.4.128 włącznie. Luka istnieje, ponieważ `stm_save_user_extra_fields()`, podłączona do `personal_options_update`, zapisuje kontrolowany przez osobę atakującą parametr `stm_dealer_logo_path` bezpośrednio do meta użytkownika bez sprawdzania własności wiążącej przesłane ścieżka do przesyłającego użytkownika — w przeciwieństwie do pól „stm_payment_status” i „stm_lost_password_hash”, to pole nie jest kontrolowane przez kontrolę możliwości „manage_options” ani „edit_users”. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie subskrybenta lub wyższym, usunięcie plików obrazów należących do innych użytkowników w ramach `wp-content/uploads` — w tym awatarów innych użytkowników, logo dealerów i przesłanych multimediów — poprzez zapisanie spreparowanej ścieżki w ich własnym profilu, a następnie wywołanie funkcji „unlink()” za pośrednictwem formularza zostania dealerem na stronie autora. Należy pamiętać, że dwaj strażnicy ścieżki („stm_mvl_is_path_within_uploads” i „stm_mvl_is_allowed_image_file”) ograniczają powierzchnię ataku do plików z rozszerzeniem obrazu, które jest rozpoznawane w oparciu o adres przesyłania; pliki spoza tego katalogu, takie jak `wp-config.php` lub pliki PHP wtyczek, nie są dostępne.