CVE-2026-81275
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Wtyczka Youzify w wersjach do 1.3.7 włącznie pozwala użytkownikowi z rolą Subscriber na pobranie dowolnego pliku. Brak odpowiedniej walidacji ścieżki umożliwia dostęp do plików spoza zamierzonego zakresu.
Ocena ryzyka
Atakujący z niskimi uprawnieniami może pobrać dowolne pliki z serwera, w tym pliki konfiguracyjne zawierające dane uwierzytelniające. Może to prowadzić do pełnego przejęcia serwisu.
Rekomendacja
Zaktualizuj wtyczkę Youzify do wersji nowszej niż 1.3.7 zawierającej poprawkę. Sprawdź, czy nie doszło do nieautoryzowanego pobrania plików.
Inne podatności w Youzify
Zobacz wszystkie- CVE-2026-73397Krytyczne
Nieuwierzytelniona podatność na deserializację niezaufanych danych w wtyczce Youzify w wersjach do 1.3.7. Atakujący bez logowania może deserializować dane, co może prowadzić do zdalnego wykonania kodu.
- CVE-2026-39780Wysokie
Wtyczka Youzify w wersjach do 1.3.7 zawiera podatność typu Cross Site Scripting (XSS). Podatność może być wykorzystana przez nieuwierzytelnionego atakującego.
- CVE-2025-69014Średnie
Podatność typu Server-Side Request Forgery (SSRF) w wtyczce Youzify (youzify) do wersji 1.3.7. Umożliwia atakującemu wysyłanie żądań z serwera do wewnętrznych zasobów, co może prowadzić do nieautoryzowanego dostępu do danych lub usług.
Oryginalny opis (angielski, źródło NVD)
Subscriber Arbitrary File Download in Youzify <= 1.3.7 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS