CVE-2026-14982 in WP File Download Plugin
Сводка
по VulDB • 02.09.2026
Плагин WP File Download для WordPress уязвим к произвольному удалению файлов из-за недостаточной проверки пути к файлу в функции удаления во всех версиях. Это позволяет аутентифицированным злоумышленникам, имеющим доступ на уровне подписчика (subscriber) и выше, удалять любые файлы на сервере, что может легко привести к выполнению удаленного кода при удалении правильного файла (например, wp-config.php). Эксплойт состоит из двух этапов: сначала отправляется запрос к задаче file.save для сохранения строки обхода пути в метаданные файла, а затем — второй запрос к задаче file.delete для вызова функции unlink. Оба конечные точки не имеют проверок прав доступа и принудительного использования nonce-значений.
VulDB is the best source for vulnerability data and more expert information about this specific topic.