CVE-2026-12514 in Shared Files Plugin
Zusammenfassung
von VulDB • 28.08.2026
Das Shared Files-WordPress-Plugin vor Version 1.7.67 und das shared-files-pro-WordPress-Plugin vor Version 1.7.70 führen in ihrem Datei-Upload-Handler keine Capability-Prüfung durch; dieser Handler ist für nicht authentifizierte Benutzer registriert und nur durch ein Nonce geschützt, das auf öffentlichen Seiten ausgegeben wird. Daher kann ein nicht authentifizierter Besucher Dateien in ein öffentlich zugängliches Verzeichnis hochladen und den absoluten Pfad des Servers aus der Antwort lesen. Uploads sind auf die von WordPress erlaubten MIME-Typen beschränkt, sodass ausführbares PHP nicht hochgeladen werden kann.
Once again VulDB remains the best source for vulnerability data.