CVE-2026-12995
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka Custom Field Template dla WordPressa w wersjach do 2.7.8 włącznie jest podatna na Insecure Direct Object Reference poprzez edit_meta_value z powodu braku walidacji klucza kontrolowanego przez użytkownika. Uwierzytelniony atakujący z uprawnieniami współpracownika lub wyższymi może usuwać dowolne załączniki multimedialne w całej witrynie, podając dowolny numeryczny identyfikator załącznika w parametrze file-field wraz z odpowiednią flagą usunięcia, powodując utratę treści i uszkodzenie stron.
Ocena ryzyka
Atakujący może usuwać pliki multimedialne, co prowadzi do utraty treści i uszkodzenia stron internetowych.
Rekomendacja
Zaktualizuj wtyczkę Custom Field Template do wersji nowszej niż 2.7.8, gdy tylko będzie dostępna.
Inne podatności w Custom Field Template
Zobacz wszystkie- CVE-2026-9855Średnie
Wtyczka Custom Field Template dla WordPressa jest podatna na ogólny SQL Injection poprzez parametr 'post_ID' we wszystkich wersjach do 2.7.8 włącznie, z powodu niewystarczającego escapingu parametru i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyżej dołączanie dodatkowych zapytań SQL do istniejących, co może prowadzić do wyciągnięcia wrażliwych informacji z bazy danych. Sprawdzanie uprawnień jest omijalne, ponieważ WordPress wewnętrznie rzutuje $id na liczbę całkowitą, podczas gdy pełny niesanityzowany ciąg jest przekazywany do zapytania.
- CVE-2026-57687Wysokie
Wtyczka Custom Field Template dla WordPressa w wersji 2.7.8 i starszych zawiera podatność na wstrzykiwanie SQL przez współtwórcę. Atakujący z uprawnieniami współtwórcy może wstrzyknąć złośliwe zapytania SQL do bazy danych.
- CVE-2025-68607Średnie
Custom Field Template do wersji 2.7.7 zawiera podatność na ataki typu Stored XSS, wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Umożliwia to atakującemu trwałe wstrzyknięcie złośliwego skryptu, który wykona się w przeglądarce innych użytkowników.
- CVE-2025-63058Średnie
Podatność polegająca na ujawnieniu wrażliwych informacji systemowych w wtyczce Custom Field Template autorstwa Hiroakiego Miyashity umożliwia odzyskanie osadzonych danych wrażliwych. Problem dotyczy wersji od n/a do 2.7.6 włącznie.
Oryginalny opis (angielski, źródło NVD)
The Custom Field Template plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 2.7.8 via the edit_meta_value due to missing validation on a user controlled key. This makes it possible for authenticated attackers, with contributor-level access and above, to delete arbitrary media attachments site-wide by supplying any numeric attachment ID in the file-field parameter alongside the corresponding delete flag, causing content loss and broken pages. Exploitation requires that the attacker's post is governed by a Custom Field Template containing at least one file-type field with the mediaRemove option not enabled, which is the default configuration for file fields.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS