CVE-2026-10038: Luka wtyczki Charitable dla WordPress umożliwiająca usuwanie załączników

Co wiadomo

Wtyczka Charitable – Donation Plugin for WordPress do wersji 1.8.11.1 posiada lukę pozwalającą na nieautoryzowane usuwanie załączników poprzez mechanizm aktualizacji awatara profilu. Luka wynika z braku weryfikacji własności załącznika podczas jego usuwania, co umożliwia atakującym z poziomem subskrybenta usunięcie dowolnego pliku z biblioteki mediów.

Wpływ biznesowy

Atakujący z kontem o uprawnieniach subskrybenta lub wyższych mogą usunąć dowolne pliki z biblioteki mediów WordPress, co może prowadzić do utraty ważnych zasobów i zakłócenia działania serwisu. Luka ta stanowi zagrożenie dla integralności danych i może wymagać przywracania usuniętych plików oraz dodatkowych działań naprawczych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Charitable i ich instalację. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu subskrybenta lub wyższego oraz monitorować logi pod kątem nietypowych działań związanych z usuwaniem załączników. Warto również rozważyć tymczasowe wyłączenie funkcji aktualizacji awatara profilu, jeśli to możliwe.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference