CVE-2026-121379
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.6
- EPSS
- 0.1%
- CWE
- CWE-73
- KEV Durumu
- Hayır
Yayım tarihi: 7 Kasım 2026
Tournamatch WordPress eklentisinin 4.7.1 sürümünden önceki sürümleri, yeni bir görüntü yüklendiğinde daha önce depolanan bir profil veya takım görüntüsünün yolunu doğrulamaz veya kısıtlamaz, bu da Abone gibi düşük bir role sahip kullanıcıların sunucudaki keyfi dosyaları, örneğin wp-config.php'yi silmesine olanak tanır ve bu durum tüm siteyi ele geçirilmesine neden olabilir.
Orijinal açıklama (İngilizce)
The Tournamatch WordPress plugin before 4.7.1 does not validate or restrict the path of a previously stored profile or team image before deleting it when a new image is uploaded, allowing users with a role as low as Subscriber to delete arbitrary files on the server, such as wp-config.php, which can lead to a full site takeover.
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.