Šta se desilo?

Patchstack je objavio ranjivost proizvoljnog brisanja datoteka u dodatku rtMedia for WordPress, BuddyPress and bbPress. Problem se vodi kao CVE-2026-105892 i odnosi se na nedovoljno ograničavanje putanje datoteke, odnosno path traversal.

Koga pogađa?

Pogođene su verzije dodatka do 4.7.13 uključujući. Samo prisustvo WordPress-a, BuddyPress-a ili bbPress-a nije dokaz izloženosti ovom propustu: potrebno je proveriti rtMedia, čiji je naziv paketa buddypress-media.

Kako se zaštititi?

  • Ažurirajte rtMedia na 4.7.14 ili noviju verziju iz zvaničnog izvora.
  • U administraciji WordPress-a proverite instaliranu verziju u odeljku za dodatke i proverite uspeh ažuriranja.
  • Pre izmene napravite proverenu rezervnu kopiju datoteka i baze.
  • Ako ažuriranje nije moguće, privremeno deaktivirajte dodatak uz procenu uticaja na sajt i dogovor sa administratorom.

Tehnički detalji

Patchstack navodi CVSS ocenu 9.8. Nepravilna kontrola putanje može omogućiti brisanje datoteka i prekid rada sajta. Isti izvor upozorava na mogući duplikat sa oznakom CVE-2026-89301 i navodi da ista ispravka rešava oba zapisa.

U proverenom savetu nije potvrđena aktivna eksploatacija. Procena da bi ranjivost mogla biti iskorišćena nije isto što i dokaz napada.

Zašto je važno?

Brisanje važnih datoteka može prekinuti rad sajta i zahtevati obnovu iz rezervnih kopija. Visoka ocena ozbiljnosti ne znači da je svaki sajt sa ovim dodatkom već kompromitovan.

Preporuka Sajber Radara

Prioritetno proverite verziju i primenite 4.7.14 ili noviju. Ako su datoteke već nestale ili postoje drugi znaci incidenta, uz ažuriranje istražite uzrok i integritet sajta.