Vulnérabilité dans File Manager (WordPress plugin) (CVE-2026-15991)
Résumé
Vulnérabilité dans File Manager (WordPress plugin) (CVE-2026-15991). L'exploitation peut entraîner la prise de contrôle totale du système.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
The File Manager plugin for WordPress is vulnerable to arbitrary file deletion due to insufficient file path validation in the connector function in all versions from 6.0 - 6.9. This makes it possible for authenticated attackers, with subscriber-level access and above, to read and delete arbitrary files on the server, which can lead to remote code execution when the right file is deleted (such as wp-config.php). The bypass is triggered by passing cmd=rm or cmf=file in the URL query string of a POST request: elFinder's bind registration reads the command exclusively from $_POST and therefore never registers the rm.pre permission handler, while the dispatcher reads from the merged $_GET+$_POST superglobal and executes the rm or file command unchecked against a volume that defaults to ABSPATH.
Source: NIST National Vulnerability Database NVD
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
Une vulnérabilité référencée CVE-2026-15991 a été découverte dans wordpress.
L'exploitation peut entraîner la prise de contrôle totale du système. Score CVSS : 8.8/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « wordpress CVE-2026-15991 » sur le site de l'éditeur.
CVE-2026-15991 (wordpress) — CWE-862 / CVSS v3 8.8
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
任意のファイル削除が可能な脆弱性
WordPress用File Managerプラグイン（バージョン6.0から6.9）
認証された攻撃者がリモートコード実行を引き起こす可能性があり、深刻な影響を与える。
プラグインのバージョンを6.9.1以降にアップグレードしてください。
適切なファイルパスのバリデーションを追加するか、影響のある機能を無効化してください。
サーバーログを分析し、異常なファイル操作がないか確認する。