CVE-2026-97332
User Private Files < 2.2.0 - .htaccess Rewrite Rule Bypass के माध्यम से अनधिकृत निजी फ़ाइल प्रकटीकरण (मल्टीसाइट)
- प्रकाशित
- 4 अक्टू॰ 2026
- अद्यतन
- 9 अक्टू॰ 2026
- सीएनए असाइन करना
- WPScan
- साक्ष्य देखे गए
- 4 नव॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:Nकम · अगले 30 दिन
- प्रतिशत
- 17.7%
- मॉडल दिनांक
- 4 नव॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
WordPress प्लगइन User Private Files के 2.2.0 से पहले के संस्करण में, मल्टीसाइट इंस्टॉलेशन पर इसकी संग्रहीत निजी फ़ाइलें ठीक से सुरक्षित नहीं हैं, जहाँ फ़ाइल अनुरोधों को इसके एक्सेस जाँच के माध्यम से रूट करने के लिए यह जिस रीराइट नियम पर निर्भर करता है, वह कभी नहीं पहुँचा जाता, जिससे अनधिकृत उपयोगकर्ता अन्य उपयोगकर्ताओं की निजी फ़ाइलें सीधे प्राप्त कर सकते हैं।
स्रोत
CVE-2026-97332 के लिए स्वतंत्र PoC और पुनरुत्पादनीय लैब — WordPress Multisite पर User Private Files < 2.2.0 में अनधिकृत निजी फ़ाइल प्रकटीकरण।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।