CVE-2026-111255
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
Wtyczka affiliate-toolkit dla WordPressa jest podatna na dowolne przesyłanie plików poprzez funkcję upload_image. Z powodu słabej walidacji typu pliku (sprawdzanie prefiksu Content-Type i wyprowadzanie rozszerzenia ze ścieżki URL kontrolowanej przez atakującego) uwierzytelniony atakujący z poziomem Contributor lub wyższym może przesłać pliki wykonywalne, co umożliwia zdalne wykonanie kodu. Wykorzystanie wymaga włączonej opcji importu obrazów produktów.
Ocena ryzyka
Możliwe zdalne wykonanie kodu na serwerze poprzez przesłanie złośliwego pliku, co może prowadzić do pełnej kompromitacji witryny i infrastruktury.
Rekomendacja
Zaktualizuj wtyczkę affiliate-toolkit do wersji nowszej niż 3.9.2, wyłącz opcję importu obrazów produktów, jeśli nie jest potrzebna, i ogranicz uprawnienia Contributor.
Inne podatności w affiliate-toolkit WordPress plugin
Zobacz wszystkie- CVE-2026-110179Średnie
Wtyczka WordPress affiliate-toolkit w wersji przed 3.8.9 nie waliduje wartości sortowania podanej przez użytkownika względem listy dozwolonych przed użyciem jej w zapytaniu do bazy danych, a ekran listy administracyjnej wymaga jedynie niższych uprawnień niż administrator. Umożliwia to użytkownikom z dostępem na poziomie edytora i wyższym przeprowadzenie wstrzyknięcia SQL i odczyt dowolnych informacji z bazy danych. W trybie multisite edytor podwitryny może odczytać globalną tabelę użytkowników sieci, w tym hash hasła superadministratora.
- CVE-2026-86787Wysokie
Wtyczka affiliate-toolkit dla WordPressa przed wersją 3.9.1 nie uniemożliwia użytkownikowi z niskimi uprawnieniami dostarczenia treści szablonu, którą jej wbudowany silnik szablonów kompiluje i wykonuje jako PHP, co pozwala użytkownikom z rolą Współautor lub wyższą na uruchamianie dowolnego kodu PHP na serwerze.
- CVE-2026-12743Średnie
Wtyczka affiliate-toolkit dla WordPressa, do wersji 3.8.8 włącznie, jest podatna na czasowe wstrzyknięcie SQL przez parametr 'orderby'. Podatność wynika z niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem administratora i wyższym dołączanie dodatkowych zapytań SQL do istniejących, co może prowadzić do wyciągnięcia wrażliwych informacji z bazy danych.
Oryginalny opis (angielski, źródło NVD)
The affiliate-toolkit – Multi-Network Affiliate & Amazon Product Display plugin for WordPress is vulnerable to Arbitrary File Upload in all versions up to, and including, 3.9.2 via the upload_image function. This is due to insufficient file type validation in upload_image due to a weak Content-Type prefix check and extension derivation from the attacker-controlled URL path, with no dangerous-extension stripping. This makes it possible for authenticated attackers, with contributor-level access and above, to upload files that may be executable, which makes remote code execution possible. Exploitation requires the "import product image" option to be enabled in the plugin settings, as this activates the image download pipeline triggered on product post save.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS