CVE-2026-1280 in Frontend File Manager Plugin
要約
〜によって VulDB • 2026年06月13日
WordPress用Frontend File Managerプラグインには、23.5を含むすべてのバージョンにおいて、「wpfm_send_file_in_email」AJAXアクションに対する権限チェックの欠如により、不正なファイル共有が可能という脆弱性が存在します。これにより、認証されていない攻撃者はファイルIDを指定することで任意にアップロードされたファイルをメールで送信することが可能になります。ファイルIDは連続した整数であるため、攻撃者はサイト上のすべてのアップロード済みファイルを列挙し、管理者のみがアクセスできることを意図していた機密データを外部へ漏洩させることができます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.