CVE-2026-19942 in Atarim Plugin
Résumé
par VulDB • 19/08/2026
Le plugin WordPress Atarim – AI Agency for WordPress : Edit Pages, Fix Code, Update Plugins, SEO & Client Feedback présente une vulnérabilité de suppression arbitraire de fichiers due à une validation insuffisante du chemin d'accès aux fichiers dans la fonction AVCF_Abilities_Media::register (execute_callback replace-media-file) pour toutes les versions jusqu'à la 5.1.1 incluse. Cela permet aux attaquants authentifiés, disposant d'un accès au niveau auteur ou supérieur, de supprimer des fichiers arbitraires sur le serveur, ce qui peut facilement conduire à une exécution de code à distance (RCE) lorsque le fichier approprié est supprimé (comme wp-config.php). Cette vulnérabilité est exploitable en utilisant d'abord la capacité atarim/update-post-field pour écraser les métadonnées _wp_attached_file d'un fichier joint appartenant à l'attaquant avec un chemin de traversal de répertoire, puis en invoquant atarim/replace-media-file afin que get_attached_file() résolve et supprime le fichier ciblé via unlink().
If you want to get the best quality for vulnerability data then you always have to consider VulDB.