CVE-2026-97332
User Private Files < 2.2.0 — неаутентифицированное раскрытие приватных файлов через обход правила перезаписи .htaccess (мультисайт)
- Опубликовано
- 4 окт. 2026 г.
- Обновлено
- 9 окт. 2026 г.
- Назначение CNA
- WPScan
- Наблюдены доказательства
- 4 нояб. 2026 г.
Первичный CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:NНизкий · следующие 30 дней
- Процентиль
- 17,7 %
- Дата модели
- 4 нояб. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
Плагин WordPress User Private Files до версии 2.2.0 не обеспечивает должной защиты хранящихся приватных файлов на мультисайтовых установках: правило перезаписи, на которое он полагается для маршрутизации запросов к файлам через свою проверку доступа, в таких установках никогда не срабатывает, что позволяет неаутентифицированным пользователям напрямую получать приватные файлы других пользователей.
Источники
Независимый PoC и воспроизводимая лабораторная среда для CVE-2026-97332 — неаутентифицированное раскрытие приватных файлов в User Private Files < 2.2.0 на WordPress Multisite.
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.