CVE-2026-15302
Publiée le 2026-07-10 · Dernière modification le 2026-07-14
Les sites WordPress utilisant l'extension ARMember (version 4.0.27 et versions antérieures) sont vulnérables à une faille de traversée de répertoire (directory traversal). Un attaquant non authentifié peut envoyer un en-tête HTTP spécialement conçu pour écraser certains fichiers, tels que des fichiers CSS, dans des répertoires situés en dehors du dossier de téléchargement prévu par l'extension. Cette action peut être exécutée à distance via le réseau, sans nécessiter d'interaction de l'utilisateur ni d'identifiants de connexion.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The ARMember plugin for WordPress is vulnerable to Directory Traversal in all versions up to, and including, 4.0.27 via the 'X-FILENAME' HTTP header. This makes it possible for unauthenticated attackers to upload and overwrite certain files (e.g., CSS) to directories outside the 'wp-content/uploads/armember' directory.