Blog 24/7
ARK. 1 · 1 min czytaniaWordPress ·

WordPress 7.1.2 łata krytyczną lukę CVE-2026-87902 o ocenie 9,2

Wydanie WordPress 7.1.2 z 22 września 2026 usuwa jeden błąd: nieuwierzytelnione włączenie pliku w doborze szablonu strony, które prowadzi do zdalnego wykonania kodu.

Karta wpisu: WordPress 7.1.2 łata krytyczną lukę CVE-2026-87902 o ocenie 9,2

WordPress 7.1.2 ukazał się 22 września 2026 jako wydanie wyłącznie bezpieczeństwa z jedną poprawką. Załatany błąd to nieuwierzytelnione włączenie pliku lokalnego przy doborze szablonu strony, które pozwala dojść do zdalnego wykonania kodu. Podatność ma numer CVE-2026-87902, ocenę CVSS 4.0 równą 9,2 i klasyfikację CWE-98. Zgłosił ją Robert Ressl. Funkcja get_page_template() w pliku wp-includes/template.php buduje listę kandydatów na nazwy szablonów. Nazwa powstająca z parametru zapytania pagename trafiała do ładowarki szablonów bez sprawdzenia przez validate_file(), choć sąsiednia gałąź kodu, ustawiona trzy linie wyżej, to sprawdzenie wykonywała.

Kogo dotyczy

Rdzeń WordPressa w wersjach od 4.7.0 do 7.1.1 włącznie, czyli każde wydanie od gałęzi 4.7. Atak nie wymaga konta w serwisie ani żadnego logowania.

Co zrobić

Zaktualizuj WordPressa do wersji 7.1.2, czyli najnowszej dostępnej. Materiał nie podaje obejścia dla instalacji, których nie da się zaktualizować.

TAB. 2

Źródła

1
Patchstack — WordPress 7.1.2 Security Release: Unauthenticated LFI to RCEpatchstack.com
TAB. 3

Powiązane

3
05.11.2026WordPressCWPdoor podmienia serwer cwpsrv w Control Web Panel i otwiera tylne wejście do Linuksa
05.11.2026WordPressDreamHost potwierdza wyciek haseł FTP/SFTP i sesji poczty webowej
05.11.2026WordPressVercel wiąże sesję logowania z TPM, skradzione ciasteczko nie zadziała gdzie indziej

Wszystkie wpisy →

Blog 24/7
06.11QNAP potwierdza włamania na serwery NAS przez luki Plex2Shell w Plex Media Serverbleepingcomputer.com06.11CBZC ostrzega: co najmniej 10 ataków na sklepowe systemy chłodnicze w Polscespidersweb.pl06.11Abnormal AI: 53% firm nie ma wzorca normalnego zachowania agentów AIcybersecuritydive.com06.11Claude Enterprise dostaje centrum bezpieczeństwa i inference hooks do narzędzi DLPsecurityweek.com06.11KAMSOFT ZSIRep akceptowała każdy certyfikat HTTPS, poprawka w wersji 2.12.3.1cert.pl06.11Atak na sterowniki chłodnicze Danfoss uszkodził towar w około 700 sklepach we Francjidarkreading.com06.11Złośliwe rozszerzenie przeglądarki może uruchomić kod przez asystenta AI na komputerzethehackernews.com06.11Paint: poprawka CVE-2026-83844 tylko przez Microsoft Store, nie przez Windows Updatethehackernews.com06.11D-Link ostrzega przed niezałatanymi lukami w przełącznikach DGS-3130bleepingcomputer.com06.11Cyberatak na Ahold Delhaize obetnie sprzedaż w IV kwartale o 200-250 mln eurosecurityweek.com