Schwachstelle in WordPress Plugin wpForo Forum ermöglicht Dateilöschung durch Authentifizierte
⚠️ CVE-Referenzen:
CVE-2026-3666
Zusammenfassung
Das WordPress-Plugin wpForo Forum weist eine Sicherheitslücke auf, die es authentifizierten Angreifern mit Subscriber-Rechoder höher ermöglicht, beliebige Dateien auf dem Server zu löschen. Dies ist auf fehlende Überprüfung von Dateinamen/Pfaden gegen Pfadtraversals-Sequenzen zurückzuführen. Betroffen sind alle Versionen bis einschließlich 2.4.16. Administratoren sollten das Plugin umgehend auf die neueste Version aktualisieren.
The wpForo Forum plugin for WordPress is vulnerable to arbitrary file deletion in all versions up to, and including, 2.4.16. This is due to a missing file name/path validation against path traversal sequences. This makes it possible for authenticated attackers, with subscriber level access and above, to delete arbitrary files on the server by embedding a crafted path traversal string in a forum post body and then deleting the post.
Quelle: app.opencve.io