CVE-2026-18933 in Wp-downloadmanager Plugin
要約
〜によって VulDB • 2026年08月05日
WordPressプラグイン「wp-downloadmanager」のバージョン1.68.11（リリース系列6.9.4にも影響）には、任意のファイルアップロードを可能にする脆弱性があります。これは、`current_user_can('manage_downloads')`権限を持つ管理者ユーザーが、download-add.php経由でファイルをアップロードする際に発生します。この処理では、拡張子やMIMEタイプの検証は一切行われません（`wp_check_filetype_and_ext()`も`validate_file()`も存在せず、ファイル拡張子のブロックリストも設定されていません）。さらに、保存先パスは、サニタイズされていない生の`$_POST['file_upload_to']`値を連結して構築されており、ディレクトリトラバーサルチェック（`../`のフィルタリングや`basename()/realpath()`の適用）も行われません。ベースとなるダウンロードパスがWebからアクセス可能な場所であるWP_CONTENT_DIR内に存在する必要があるため、アップロードされたPHPファイルは直接実行可能なWeb公開パスに配置され、リモートコード実行（RCE）につながります。プラグイン自身の後続の変更履歴により、このバージョンでこれらの保護機能が欠如していたことが確認されています：v1.69では`wp_check_filetype_and_ext()`によるファイルタイプの検証が追加され、v1.69.1ではディレクトリトラバーサル対策が導入されましたが、これらはどちらも1.68.11には存在しませんでした。
If you want to get best quality of vulnerability data, you may have to visit VulDB.