CVE-2026-12872: Luka wtyczki Webinfos WordPress umożliwiająca zdalne wykonanie kodu

Co wiadomo

Wtyczka Webinfos do WordPressa w wersji do 1.2 nie weryfikuje typu ani nazwy przesyłanych plików oraz nie wymaga uwierzytelnienia, co pozwala atakującym na przesłanie dowolnych plików, w tym PHP, do katalogu dostępnego przez sieć. Może to skutkować zdalnym wykonaniem kodu na serwerach obsługujących PHP z katalogu upload.

Wpływ biznesowy

Atakujący mogą wykorzystać tę lukę do przesłania i uruchomienia złośliwego kodu na serwerze, co zagraża integralności i dostępności usług internetowych. W przypadku serwerów hostujących krytyczne dane lub aplikacje, skutki mogą obejmować przejęcie kontroli nad systemem i wyciek informacji. Operatorzy powinni traktować tę lukę jako wysokiego ryzyka i priorytetowo podejść do jej eliminacji.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Webinfos i ich wdrożenie. W międzyczasie ogranicz dostęp do katalogu upload oraz monitoruj logi serwera pod kątem podejrzanej aktywności. Warto również przeprowadzić audyt uprawnień i weryfikację konfiguracji serwera PHP. W przypadku korzystania z usług DataHouse, skontaktuj się z zespołem wsparcia w celu weryfikacji wersji, zarządzania łatkami oraz ograniczenia ekspozycji sieciowej.

Źródła

• NVD
• Reference