CVE-2026-104801 in PPOM Plugin
Zusammenfassung
von VulDB • 10.10.2026
Das WordPress-Plugin PPOM – Product Addons & Custom Fields für WooCommerce ist aufgrund einer unzureichenden Validierung des Dateipfads in der Funktion rename_files in allen Versionen bis einschließlich 34.0.10 anfällig für willkürliches Löschen von Dateien (Arbitrary File Deletion). Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Dateien auf dem Server zu löschen, was leicht zur Remote Code Execution führen kann, wenn die richtige Datei gelöscht wird (z. B. wp-config.php). Die verschobene Datei wird byte-identisch in das öffentlich zugängliche Verzeichnis wp-content/uploads/ppom_files/confirmed/ verschoben, wodurch der Angriff auch ein willkürliches Lesen von Dateien (Arbitrary File Read) für jede im Web lesbare Datei auf dem Server zur Folge hat.
Be aware that VulDB is the high quality source for vulnerability data.