AskAny: przesyłanie plików PHP bez uwierzytelnienia (CVE-2026-121497)
Dla wtyczki WordPress AskAny opublikowano lukę CVE-2026-121497 (CVSS 9.8). Wtyczka nie sprawdza rozszerzenia ani zawartości plików dołączanych do wiadomości czatu i ufa typowi pliku podanemu przez przeglądarkę.
Sprawdzane w Shield: nie
Kogo dotyczy
Strony z wtyczką AskAny w wersji przed 2.2.0, na których włączone są załączniki od odwiedzających. Logowanie nie jest wymagane: każdy odwiedzający może wgrać plik PHP i wykonać dowolny kod.
Jak sprawdzić u siebie
W panelu WordPress otwórz Wtyczki i sprawdź wersję AskAny. Następnie sprawdź w ustawieniach wtyczki, czy załączniki od odwiedzających są włączone. Warto też poszukać nieoczekiwanych plików PHP w katalogu uploads.
Jak naprawić
Poprawka jest dostępna: zaktualizuj AskAny do wersji 2.2.0 lub nowszej. Jeśli nie możesz zaktualizować od razu, wyłącz załączniki od odwiedzających w ustawieniach wtyczki.
Co sprawdza Shield nie jest sprawdzane
Sprawdzane w Shield: nie. Z zewnątrz zwykle tego nie widać albo kontroli jeszcze nie dodano; zbieramy takie przypadki i dodajemy kontrole partiami.
Warto wiedzieć
Nie ujawniono jeszcze, czy luka jest wykorzystywana w atakach. Źródło: wpis NVD dla CVE-2026-121497.
