CVE-2026-16940: Luka w wtyczce Custom Fields WordPress umożliwia usuwanie plików

Co wiadomo

Wtyczka Custom Fields dla WordPressa w wersjach przed 1.5.1 nie weryfikuje ścieżki pliku przed jego usunięciem, co pozwala nieautoryzowanym użytkownikom na usunięcie dowolnych plików na serwerze, w tym kluczowego pliku wp-config.php. Może to prowadzić do przejęcia pełnej kontroli nad stroną.

Wpływ biznesowy

Niewłaściwa walidacja ścieżek plików w popularnej wtyczce WordPress stwarza poważne ryzyko dla właścicieli stron internetowych, umożliwiając atakującym usunięcie krytycznych plików i potencjalne przejęcie witryny. Skutki mogą obejmować utratę danych, przerwę w działaniu serwisu oraz naruszenie bezpieczeństwa użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Custom Fields i jej instalację do wersji 1.5.1 lub nowszej. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp do funkcji usuwania plików oraz monitoruj logi serwera pod kątem podejrzanych działań. Warto również zweryfikować konfigurację serwera i wykonać kopię zapasową danych. Zespół DataHouse może pomóc w ocenie wersji oprogramowania, zarządzaniu aktualizacjami oraz monitoringu bezpieczeństwa.

Źródła

• NVD
• Reference