CVE-2026-19942 in Atarim Plugin
要約
〜によって VulDB • 2026年08月19日
WordPress用プラグイン「Atarim – AI Agency for WordPress: Edit Pages, Fix Code, Update Plugins, SEO & Client Feedback」には、AVCF_Abilities_Media::register (replace-media-file execute_callback) 関数におけるファイルパスの検証不備により、任意のファイル削除脆弱性が存在します。この問題はバージョン5.1.1以前すべてのバージョンに影響します。これにより、著者レベル以上の権限を持つ認証済み攻撃者はサーバー上の任意のファイルを削除可能となり、wp-config.phpなどの適切なファイルが削除された場合、リモートコード実行（RCE）に直結する可能性があります。本脆弱性はまずatarim/update-post-field機能を使用して攻撃者が所有する添付ファイルの_wp_attached_fileメタデータをディレクトリトラバーサルパスで上書きし、次にatarim/replace-media-fileを呼び出してget_attached_file()が対象ファイルを解決・削除（unlink）させることで悪用できます。
If you want to get best quality of vulnerability data, you may have to visit VulDB.