PixMagix WordPress Image Editor narażony na Directory Traversal (CVE-2026-11367)

Co wiadomo

Wtyczka PixMagix dla WordPress do edycji obrazów zawiera lukę Directory Traversal w wersjach do 1.7.2 włącznie. Umożliwia to użytkownikom z uprawnieniami autora i wyższymi zapis plików w dowolnych lokalizacjach na serwerze, wykorzystując nieprawidłowo oczyszczony parametr.

Wpływ biznesowy

Luka pozwala na zapis plików z kontrolowaną przez atakującego zawartością poza zamierzonym katalogiem, co może prowadzić do eskalacji uprawnień, modyfikacji plików serwera lub innych działań zagrażających integralności i bezpieczeństwu witryny. Atakujący z uprawnieniami autora mogą wykorzystać tę podatność bez dodatkowych uprawnień, co zwiększa ryzyko nadużyć na stronach korzystających z PixMagix.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki PixMagix i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi serwera pod kątem podejrzanych działań oraz rozważyć czasowe wyłączenie funkcji edycji obrazów. Warto także przeprowadzić audyt bezpieczeństwa i weryfikację integralności plików na serwerze.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference