CVE-2026-10834: Błąd weryfikacji ścieżki obrazu profilu w wtyczce WP Travel Engine

Co wiadomo

Wtyczka WP Travel Engine dla WordPressa w wersjach przed 6.8.1 nieprawidłowo weryfikuje źródło ścieżki obrazu profilu dostarczonej przez użytkownika. Umożliwia to uwierzytelnionym użytkownikom z poziomem subskrybenta lub wyższym przenoszenie dowolnych plików w katalogu uploadów WordPressa do własnej ścieżki obrazu profilu, co może usunąć media z oryginalnej lokalizacji i powodować błędy w treści strony.

Wpływ biznesowy

Ta luka może prowadzić do uszkodzenia zawartości witryny poprzez przeniesienie plików multimedialnych, co wpływa na integralność i dostępność treści. Operatorzy CMS powinni zwrócić uwagę na potencjalne przerwy w działaniu serwisu oraz ryzyko związane z manipulacją plikami w katalogu uploadów, co może wymagać dodatkowej analizy i naprawy.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki WP Travel Engine do wersji 6.8.1 lub nowszej. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp użytkowników do poziomu subskrybenta i wyższego oraz monitoruj logi serwera pod kątem nietypowych operacji na plikach w katalogu uploadów. Przeanalizuj i przywróć ewentualnie usunięte lub przeniesione pliki multimedialne, aby zapobiec przerwom w działaniu witryny.

Źródła

• NVD
• Reference