CVE-2026-19991

WordPress için geliştirilen UsersWP eklentisi, 1.2.70 dahil önceki sürümlerde upload_file_remove() AJAX işleyicisi üzerinden Keyfi Dosya Silme zafiyetine sahiptir. Eklenti, gerçek bir $_FILES yüklemesi sağlanmadığında, hesap 'file' form alanının değerini doğrudan $_POST üzerinden saklar (process_account() fonksiyonu uwp_validate_fields() fonksiyonunu çağırır ve sonucu UsersWP_Files::validate_uploads() fonksiyonunun boş çıktısıyla array_merge ile birleştirir). Saklama sırasında değer yalnızca validate_file() ile kontrol edilir ve bu kontrol, içinde açıkça '../' bulunmayan tüm dizgeleri kabul eder. Değer daha sonra upload_file_remove() tarafından işlendiğinde, tekrar validate_file() ile denetlenir ve ardından uwp_get_file_relative_url() aracılığıyla normalize edilir; bu yardımcı fonksiyon, saklanan URL üzerinde yükleme temel URL'sine karşı küresel bir str_replace() işlemi gerçekleştirerek, gömülü '..<uploads-baseurl>' belirteçleri içeren hazırlanmış bir URL'nin son doğrulamadan sonra '../../' dizin geçiş sekanslarına dönüşmesine izin verir. Dönüştürülen değer daha sonra yüklemelerin temel dizinine eklenir ve herhangi bir kanonik kapsama kontrolü yapılmadan wp_delete_file() fonksiyonuna aktarılır. Bu durum, Abone seviyesi ve üzeri erişime sahip kimliği doğrulanmış saldırganların, etkilenen sitenin sunucusundaki keyfi dosyaları (wp-config.php dahil) silmesini mümkün kılar.