CVE-2026-18933

7.2 Élevée

Publiée le 05/08/2026 à 14:18 · Modifiée le 26/08/2026 à 19:36 · Analyse NVD reportée · Source : 309f9ea4-e3e9-4c6c-b79d-e8eb01244f2c

Description

The wp-downloadmanager WordPress plugin, in version 1.68.11 (also affecting the 6.9.4 release line), allows an admin-privileged user (current_user_can('manage_downloads')) to upload arbitrary files via download-add.php with no extension or MIME-type validation of any kind - no wp_check_filetype_and_ext, no validate_file, and no extension blocklist exist anywhere in the upload handler.

Traduire en français

Produits concernés

wp-downloadmanager

Scores CVSS

Version	Score	Source	Vecteur
3.1	7.2 Élevée	309f9ea4-e3e9-4c6c-b79d-e8eb01244f2c	`CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H`

Faiblesses (CWE)

CWE-434

Références

https://wordpress.org/plugins/wp-downloadmanager/#description

Ailleurs

NVD
CVE.org
CIRCL Vulnerability-Lookup
CERT-FR
GitHub Advisories