CVE-2026-39591
KrytyczneCVSS 9.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
W WP-BusinessDirectory w wersjach do 4.0.0 występuje podatność umożliwiająca subskrybentom przesyłanie dowolnych plików.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do przesyłania złośliwych plików, co może prowadzić do przejęcia kontroli nad serwerem lub wycieku danych.
Rekomendacja
Zaleca się aktualizację WP-BusinessDirectory do najnowszej wersji, aby usunąć tę podatność.
Inne podatności w WP-BusinessDirectory
Zobacz wszystkie- CVE-2026-6070Krytyczne
Wtyczka WP-BusinessDirectory dla WordPressa w wersji do 4.0.1 zawiera podatność na nieuwierzytelnione usuwanie dowolnych plików. Problem wynika z niewystarczającej walidacji ścieżki w metodzie remove() klasy JBusinessDirectoryControllerUpload, co pozwala atakującemu na manipulację parametrem _filename i usunięcie krytycznych plików serwera.
- CVE-2026-89271Średnie
Wtyczka WP-BusinessDirectory dla WordPressa do wersji 4.0.2 nie ogranicza typu ani miejsca zapisu plików przez nieuwierzytelniony handler przesyłania, co pozwala nieuwierzytelnionym atakującym zapisywać pliki o dowolnej treści w dowolnych lokalizacjach, choć nie umożliwia wykonania kodu w domyślnej konfiguracji serwera.
Oryginalny opis (angielski, źródło NVD)
Subscriber Arbitrary File Upload in WP-BusinessDirectory <= 4.0.0 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS