WordPress opravuje kritickou chybu, která může umožnit spuštění cizího kódu

WordPress opravil kritickou chybu ve jádru svého softwaru, která umožňuje útočníkovi bez účtu přimět web, aby načítal soubor PHP mimo adresář šablony. Na některých serverech to může jít ještě dál a útočníkovi umožnit spustit vlastní kód. Oprava byla vydána 22. září ve verzi WordPress 7.1.2 a všech dalších větvích, které projekt stále podporuje – tedy až zpět k verzi 4.7.

WordPress tuto chybu klasifikuje jako kritickou, přiřazuje jí skóre CVSS 9,2 a přiděluje jí identifikátor CVE-2026–87902. Problém se týká všech verzí od 4.7.0 až po 7.1.1 a k jeho zneužití není třeba žádný účet ani žádná akce ze strany přihlášeného uživatele.

Chyba spočívá ve způsobu, jakým WordPress vybírá šablonu pro stránku. Jeden z názvů souborů, které generuje, pochází z části webové adresy. Ve zranitelných verzích neproběhne kontrola na procházení adresáře ../. Pokud šablona obsahuje adresář začínající na page-, může útočník spustit kód mimo obvyklý prostor.