Broken Link Checker: wykonanie kodu bez uwierzytelnienia (CVE-2026-18937)
Opublikowano podatność CVE-2026-18937 (CVSS 9) we wtyczce Broken Link Checker dla WordPressa. Wtyczka nie ogranicza zmiennych zapytania przyjmowanych od użytkownika, więc nieuwierzytelniony użytkownik może nadpisywać dowolne zmienne globalne PHP.
Sprawdzane w Shield: nie
Kogo dotyczy
Broken Link Checker w wersjach przed 2.4.12 na stronach z prostymi (plain) permalinkami. Wykonanie dowolnego kodu na serwerze jest możliwe, gdy aktywny jest klasyczny (nieblokowy) motyw.
Jak sprawdzić u siebie
W panelu WordPress otwórz Wtyczki i sprawdź wersję Broken Link Checker. Następnie w Ustawienia - Bezpośrednie odnośniki sprawdź, czy wybrano format prosty, i upewnij się, czy używasz klasycznego motywu.
Jak naprawić
Poprawka jest dostępna: zaktualizuj wtyczkę do wersji 2.4.12 lub nowszej.
Co sprawdza Shield nie jest sprawdzane
Sprawdzane w Shield: nie. Z zewnątrz zwykle tego nie widać albo kontroli jeszcze nie dodano; zbieramy takie przypadki i dodajemy kontrole partiami.
Warto wiedzieć
Informacje o wykorzystaniu podatności w atakach nie zostały jeszcze ujawnione. Źródło: wpis NVD dla CVE-2026-18937.
