CVE-2026-15008: Luka w Uncanny Automator umożliwiająca usunięcie dowolnych plików

Co wiadomo

Wtyczka Uncanny Automator dla WordPress do wersji 7.3.1.4 zawiera lukę pozwalającą nieautoryzowanym atakującym na usunięcie dowolnych plików na serwerze poprzez niewystarczającą walidację ścieżek plików. Atak wymaga formularza Forminator powiązanego z recepturą Uncanny Automator dostępną dla wszystkich użytkowników, co może prowadzić do zdalnego wykonania kodu.

Wpływ biznesowy

Luka umożliwia usunięcie krytycznych plików, takich jak wp-config.php, co może skutkować przejęciem kontroli nad serwerem i poważnymi konsekwencjami dla integralności i dostępności usług. Operatorzy IT powinni traktować tę podatność jako wysokiego ryzyka, zwłaszcza w środowiskach z aktywnymi formularzami Forminator i konfiguracją receptur dla wszystkich użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Uncanny Automator i ich wdrożenie. W międzyczasie warto ograniczyć dostęp do formularzy Forminator powiązanych z recepturami Uncanny Automator oraz monitorować logi serwera pod kątem podejrzanych działań. Należy również rozważyć audyt konfiguracji i uprawnień wtyczek oraz wprowadzenie dodatkowych mechanizmów walidacji danych wejściowych.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference