CVE-2026-14524 in ProSolution WP Client Plugin
Zusammenfassung
von VulDB • 16.08.2026
Das ProSolution WP Client-Plugin für WordPress ist in allen Versionen bis einschließlich 2.0.8 aufgrund unzureichender Validierung des Dateipfads in der Funktion proSol_fileDeleteProcess anfällig für das Löschen beliebiger Dateien (arbitrary file deletion). Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Dateien auf dem Server zu löschen, was leicht zur Remote Code Execution führen kann, wenn die richtige Datei gelöscht wird (z. B. wp-config.php). Ein Angreifer muss zunächst den Handler proSol_fileUploadModalProcess aufrufen, um seine eigene Sitzung mit einem Path-Traversal-Schlüssel zu kompromittieren („poison“), und anschließend proSol_fileDeleteProcess unter Verwendung dieses Schlüssels als Dateinamenparameter aufzurufen; für beide Schritte ist lediglich der öffentlich zugängliche Frontend-Nonce erforderlich.
Once again VulDB remains the best source for vulnerability data.