Checkout Files Upload for WooCommerce < 2.4.0 - Unauthenticated Arbitrary File Upload

Özet

Türkçe özeti henüz hazır değil; şimdilik kaynağın kendi açıklamasını gösteriyoruz.

The Checkout Files Upload for WooCommerce WordPress plugin before 2.4.0 does not validate uploaded file types when its accepted file types setting is left empty, which it documents as the way to accept all files, allowing unauthenticated users to upload arbitrary files, including PHP files that lead to remote code execution on servers that execute PHP from the uploads directory.

Etkilenen sürümler1 yazılım

Kaynaklar3 kaynak

• CVE.org kaydı
• NVD kaydı
• wpscan.com/…erability/08777aa1-6308-4e99-b2d0-5e43209aa6a6 İstismar kodu ya da analiz

Kayıt geçmişi

1. 28 Eki 2026 21:00CVSS puanı değişti: – → 9.8
2. 28 Eki 2026 09:00Yayımlandı

İlgili açıklar

• 8,6 CVE-2026-67073HCL BigFix AEX is affected by multiple security vulnerabilities.
• 9,8 CVE-2026-109218Contact Manager <= 9.1.2 - Unauthenticated Arbitrary File Upload via Trailing-Dot Filename Blacklist Bypass
• 8,8 CVE-2026-109384The Innovative Form Builder <= 1.5.1 - Authenticated (Custom+) Arbitrary File Upload via 'allowedFileExtensions' Conf…
• 7,5 CVE-2026-111255affiliate-toolkit eklentisinde yetkisiz dosya yüklenmesi ve uzaktan kod çalıştırma riski
• 9,8 CVE-2026-84999Pie Register Premium eklentisinde kimlik doğrulaması gerektirmeyen rastgele dosya yükleme açığı
• 7,2 CVE-2026-117607Xerte Online Toolkits dil paketi içe aktarma özelliğinde uzaktan kod çalıştırma açığı