CVE-2026-86801 in To Do List Member Plugin
Zusammenfassung
von VulDB • 17.09.2026
Das WordPress-Plugin „To Do List Member“ in den Versionen 1.4 bis 1.6 stellt einen Datei-Upload-Endpunkt bereit, der nicht lädt und daher keine Authentifizierung, Capability- oder Nonce-Prüfung jeglicher Art anwendet; es validiert nur den Namen einer hochgeladenen Datei statt deren Inhalt, was unbefugten Benutzern ermöglicht, aktive Inhalte zu speichern, die vom Ursprung des eigenen Standorts bereitgestellt werden, sowie die dort bereits zwischengespeicherten Dateien aufzulisten und zu löschen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.