Pie Register Premium: nieuwierzytelnione przesyłanie plików dowolnego typu (CVE-2026-84999)
Opublikowano podatność CVE-2026-84999 (CVSS 9.8) we wtyczce Pie Register Premium dla WordPressa. Funkcja piereg_file_upload nie sprawdza wyniku walidacji typu pliku, a jej obsługa AJAX nie używa nonce ani kontroli uprawnień.
Sprawdzane w Shield: nie
Kogo dotyczy
Podatne są wszystkie wersje Pie Register Premium do 3.8.4.0 włącznie. Nieuwierzytelniony atakujący może przesłać niebezpieczny plik (np. skrypt PHP), co może umożliwić zdalne wykonanie kodu, ponieważ serwer zwraca ścieżkę do przesłanego pliku.
Jak sprawdzić u siebie
W panelu WordPressa otwórz stronę „Wtyczki” i sprawdź, czy Pie Register Premium jest zainstalowany oraz jaka to wersja. Wersja 3.8.4.0 lub niższa jest podatna.
Jak naprawić
Poprawiona wersja nie jest jeszcze podana w źródle. Śledź komunikaty producenta i zaktualizuj wtyczkę, gdy pojawi się poprawka. Do tego czasu można rozważyć tymczasowe wyłączenie wtyczki.
Co sprawdza Shield nie jest sprawdzane
Sprawdzane w Shield: nie. Z zewnątrz zwykle tego nie widać albo kontroli jeszcze nie dodano; zbieramy takie przypadki i dodajemy kontrole partiami.
Warto wiedzieć
Poprawiona wersja i ewentualna eksploatacja nie zostały jeszcze ujawnione. Źródło: NVD (CVE-2026-84999).
