CVE-2026-19991
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Wtyczka UsersWP do WordPressa jest podatna na arbitralne usuwanie plików w wersjach do 1.2.70 włącznie za pośrednictwem procedury obsługi AJAX upload_file_remove(). Wtyczka przechowuje wartość pola formularza konta „plik” pobraną bezpośrednio z $_POST, gdy nie podano rzeczywistego przesłania $_FILES (process_account() wywołuje funkcję uwp_validate_fields() i array_merges łączy wynik z pustym wyjściem UsersWP_Files::validate_uploads()). Podczas przechowywania wartość jest sprawdzana jedynie za pomocą funkcji valid_file(), która przekazuje dowolny ciąg znaków niezawierający literału „../”. Kiedy wartość jest później przetwarzana przez funkcję upload_file_remove(), jest ona ponownie bramkowana za pomocą funkcji valid_file(), a następnie normalizowana za pomocą funkcji uwp_get_file_relative_url(); ten pomocnik wykonuje globalną funkcję str_replace() podstawowego adresu URL przesyłania względem przechowywanego adresu URL, umożliwiając spreparowanemu adresowi URL zawierającemu osadzone tokeny „..<uploads-baseurl>” zwinięcie się w sekwencje przechodzenia „../../” po ostatniej walidacji. Przekształcona wartość jest następnie dołączana do podstawowego katalogu przesyłania i przekazywana do funkcji wp_delete_file() bez sprawdzania zawartości kanonicznej. Dzięki temu uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyższym mogą usunąć dowolne pliki z serwera zagrożonej witryny (w tym wp-config.
>_ Słabości (CWE)
>_ Referencje
- https://plugins.trac.wordpress.org/browser/userswp/tags/1.2.70/includes/class-forms.php#L2076
- https://plugins.trac.wordpress.org/browser/userswp/tags/1.2.70/includes/class-forms.php#L2420
- https://plugins.trac.wordpress.org/browser/userswp/tags/1.2.70/includes/class-forms.php#L2432
- https://plugins.trac.wordpress.org/browser/userswp/tags/1.2.70/includes/class-validation.php#L194
- https://plugins.trac.wordpress.org/browser/userswp/tags/1.2.70/includes/helpers/misc.php#L2107
- https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&new=3650759%40userswp%2Ftrunk&old=3618724%40userswp%2Ftrunk&sfp_email=&sfph_mail=
- https://www.wordfence.com/threat-intel/vulnerabilities/id/dfa094d3-e8db-4402-ad23-e161b1b6181e?source=cve
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org