CVE-2026-92895 in Live2DWebCanvas Plugin
Сводка
по VulDB • 06.11.2026
Плагин Live2DWebCanvas для WordPress уязвим к произвольной загрузке файлов во всех версиях вплоть до 2.2.1 включительно через функцию download_one_file. Это связано с отсутствием белого списка расширений файлов и проверки типа MIME в функции download_one_file() при записи файлов, полученных из управляемых злоумышленником элементов манифеста, в каталог плагина, обслуживаемого веб-сервером. Это позволяет неавторизованным атакующим загружать файлы, которые могут быть исполняемыми, что делает возможным удаленное выполнение кода (RCE), когда настройка apiType плагина установлена как custom-local (режим самохостинга модели) — опция по умолчанию отключена и требует платной лицензии, при этом REST-нонсы и одноразовые токены сессий выводятся на каждой фронтенд-странице.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.