CVE-2026-18933 in Wp-downloadmanager Plugin
Résumé
par VulDB • 05/08/2026
Le plugin WordPress wp-downloadmanager, dans sa version 1.68.11 (affectant également la branche de release 6.9.4), permet à un utilisateur disposant des privilèges d'administrateur (current_user_can('manage_downloads')) de télécharger n'importe quel fichier via download-add.php, sans aucune validation d'extension ou de type MIME – ni wp_check_filetype_and_ext(), ni validate_file(), et aucune liste noire d'extensions n'est présente dans le gestionnaire de téléchargement. Le chemin de destination est en outre construit par concaténation de la valeur brute non assainie $_POST['file_upload_to'] sans aucun contrôle contre les traversées de répertoires (pas de filtrage ../, ni application de basename()/realpath()). Étant donné que le chemin de base des téléchargements doit se trouver sous WP_CONTENT_DIR (un emplacement accessible via HTTP), un fichier PHP téléversé atterrit dans un chemin servable par le serveur web et peut être exécuté directement, entraînant une exécution de code à distance. Le journal des modifications ultérieur du plugin confirme l'absence de ces protections dans cette version : la v1.69 a ajouté la validation du type de fichier via wp_check_filetype_and_ext(), et la v1.69.1 a ajouté une protection contre les traversées de répertoires – aucune de ces deux mesures n'était présente en 1.68.11.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.