Unrestricted File Upload in LightSync Pro (WordPress plugin) (CVE-2026-6147)
Summary
Vulnerability in LightSync Pro (WordPress plugin) (CVE-2026-6147). Successful exploitation can lead to full system takeover.
Original description
The description as published by the source.
The LightSync Pro plugin for WordPress is vulnerable to arbitrary file uploads due to missing file type validation in the rest_replace_media() function in all versions up to, and including, 2.1.6. This makes it possible for authenticated attackers, with Author-level access and above, to upload arbitrary files on the affected site's server which may make remote code execution possible.
Source: NIST National Vulnerability Database NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
WordPress用のLightSync Proプラグインには、バージョン2.1.6までのすべてにおいて、rest_replace_media()関数でのファイルタイプ検証の欠如により任意のファイルアップロードの脆弱性があります。これにより、著者レベルのアクセス権を持つ認証済みの攻撃者が、影響を受けるサイトのサーバーに任意のファイルをアップロードでき、リモートコード実行が可能になる可能性があります。
この脆弱性は任意のファイルがアップロード可能になる欠陥です。
LightSync Proプラグインのrest_replace_media()関数に影響します。
攻撃者は任意のコードをサーバーで実行できる可能性があるため、深刻です。
ファイルタイプの検証を追加することでアップロード機能を制限してください。
著者以上の権限を持つユーザーを慎重に管理し、検証が追加されるまでプラグインの使用を控える。
サーバーに予期しないファイルがアップロードされていないか定期的に確認する。
References
- web security@wordfence.com
- web security@wordfence.com
- web security@wordfence.com
- web security@wordfence.com
- web nvd.nist.gov
- web github.com