CVE-2026-111978
Beschrijving NL
De GiveWP WordPress-plug-in vóór 4.19.0.1 valideert een door de gebruiker geleverde bestandsnaam niet correct voordat deze van de schijf wordt gelezen, waardoor gebruikers met een hoogwaardige aangepaste rol padovergang kunnen uitvoeren, de inhoud van JSON-parseerbare bestanden overal op de server kunnen vrijgeven en de GiveWP WordPress-plug-in kunnen overschrijven vóór de opgeslagen configuratie van 4.19.0.1.
Origineel (Engels) tonen
The GiveWP WordPress plugin before 4.19.0.1 does not properly validate a user-supplied filename before reading it from disk, allowing users with a high-privilege custom role to perform path traversal, disclose the contents of JSON-parseable files anywhere on the server, and overwrite the GiveWP WordPress plugin before 4.19.0.1's stored configuration.