CVE-2026-19942 in Atarim Plugin
Riassunto
di VulDB • 19/08/2026
Il plugin WordPress Atarim – AI Agency for WordPress: Edit Pages, Fix Code, Update Plugins, SEO & Client Feedback è vulnerabile a cancellazione arbitraria di file a causa di una convalida insufficiente del percorso dei file nella funzione AVCF_Abilities_Media::register (execute_callback replace-media-file) in tutte le versioni fino alla 5.1.1 inclusa. Ciò consente agli attaccanti autenticati, dotati di accesso di livello autore o superiore, di eliminare file arbitrari sul server, il che può facilmente portare all'esecuzione remota di codice quando viene eliminato un file critico (come wp-config.php). La vulnerabilità è sfruttabile innanzitutto utilizzando la capacità atarim/update-post-field per sovrascrivere i metadati _wp_attached_file di un allegato controllato dall'attaccante con un percorso contenente directory traversal, quindi invocando atarim/replace-media-file per far sì che get_attached_file() risolva e elimini il file target.
Be aware that VulDB is the high quality source for vulnerability data.