CVE-2025-60201
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress WP Customer Area przed wersją 8.3.4 zawiera podatność PHP Local File Inclusion (LFI) wynikającą z nieprawidłowej kontroli nazwy pliku w instrukcji include/require. Umożliwia to atakującemu dołączenie lokalnych plików PHP.
Ocena ryzyka
Atakujący może odczytać wrażliwe pliki na serwerze lub wykonać złośliwy kod, co może prowadzić do pełnej kompromitacji serwisu WordPress.
Rekomendacja
Należy zaktualizować wtyczkę WP Customer Area do wersji 8.3.4 lub nowszej. Dodatkowo zaleca się regularne aktualizacje wszystkich wtyczek i rdzenia WordPress.
Inne podatności w WP Customer Area
Zobacz wszystkie- CVE-2026-116854Średnie
W wtyczce WP Customer Area w wersjach do 8.4.0 występuje podatność Cross Site Scripting (XSS) umożliwiająca atak użytkownikowi z rolą subskrybenta.
- CVE-2026-7640Średnie
Wtyczka WP Customer Area dla WordPressa jest podatna na trwałe ataki XSS poprzez atrybut 'type' shortcode'u `customer-area-protected-content` we wszystkich wersjach do 8.3.5 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia dla atrybutu shortcode'u.
- CVE-2026-42661Wysokie
Wtyczka WP Customer Area w wersjach do 8.3.4 zawiera podatność na atak typu Path Traversal, co może umożliwić nieautoryzowany dostęp do plików systemowych.
Oryginalny opis (angielski, źródło NVD)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in aguilatechnologies WP Customer Area customer-area allows PHP Local File Inclusion. This issue affects WP Customer Area: before 8.3.4.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS