CVE-2026-9062
NiskieCVSS 3.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Podatność we wtyczce Store Locator do WordPressa (przed wersją 1.6.9) umożliwia użytkownikom z wysokimi uprawnieniami (np. administratorom) odczyt dowolnych plików .php na serwerze, w tym plików konfiguracyjnych z danymi logowania do bazy danych i kluczami uwierzytelniania.
Ocena ryzyka
Ryzyko całkowitego przejęcia kontroli nad serwerem WordPress poprzez wyciek danych uwierzytelniających do bazy danych i kluczy, co może prowadzić do kradzieży danych i dalszych ataków.
Rekomendacja
Zaktualizuj wtyczkę Store Locator do wersji 1.6.9 lub nowszej. Ogranicz uprawnienia administratorów i regularnie audytuj dostęp do plików.
Oryginalny opis (angielski, źródło NVD)
The Store Locator WordPress plugin before 1.6.9 does not validate a parameter before using it in a file path, allowing high-privileged users such as administrators to read arbitrary `.php` files from the server, including configuration files that contain database credentials and authentication keys.