Simple File List
Уязвимости
17
Эксплуатируемые
0
Макс. CVSS
9.8
Макс. EPSS
0.44095
Распределение по критичности
Критический
2
Высокий
3
Средний
9
Низкий
0
Затронутые диапазоны версий
< 3.2.8< 4.2.3< 4.2.8< 4.4.12< 6.0.10< 6.1.10< 6.1.13< 6.1.14< 6.1.15< 6.1.16≤ 6.1.15≤ 6.1.9≤ 6.3.7
Также сопоставлено как (исходные строки): simple-file-list,simple_file_list
Топ уязвимостей
CVE-2020-36847Плагин Simple-File-List для WordPress уязвим к выполнению произвольного кода в версиях до 4.2.2 включительно через функцию переименования, которая может быть использована для переименования загруженного PHP-кода с расширением png на php. Это позволяет неаутентифицированным злоумышленникам выполнять код на сервере. Уязвимость была устранена в версии 4.2.3 [1].
Источники:
- [1] https://www.wordfence.com/threat-intel/vulnerabilities/id/9eb835fd-6ebf-4162-856c-0366b663a07e?source=cve
- [2] https://plugins.trac.wordpress.org/changeset/2286920/simple-file-list
CVE-2020-12832Плагин WordPress Simple File List до версии 4.2.8 подвержен уязвимости, которая позволяет злоумышленникам удалять произвольные файлы, поскольку приложение не может должным образом проверить введенные пользователем данные.
CVE-2025-54021Неправильное ограничение уязвимости Pathname в ограниченном каталоге («Пути Траверсал») в списке проста файлов Mitchell Bennis Simple File List позволяет Path Traversal.Эта проблема затрагивает простой список файлов: от n/a до <= 6.1.14.
CVE-2023-44227Уязвимость отсутствия авторизации в Mitchell Bennis Simple File List. Эта проблема затрагивает Simple File List: от n/a до 6.1.9.
CVE-2022-1119Плагин Simple File List WordPress уязвим для произвольной загрузки файлов через параметр eeFile, найденный в файле ~/includes/ee-downloader.php, из-за отсутствия элементов управления, что позволяет неаутентифицированным злоумышленникам предоставлять путь к файлу, который впоследствии будет загружен, в версиях до 3.2.7 включительно.
CVE-2026-24953Неправильное ограничение патами защиты в ограниченном каталоге («Пути Траверсал») в списке проста файлов Mitchell Bennis Simple File List позволяет Path Traversal.Эта проблема затрагивает простой список файлов: от n/a до <= 6.1.15.
CVE-2022-3208Плагин Simple File List WordPress до версии 4.4.12 не реализует проверки nonce, что может позволить злоумышленникам заставить вошедшего в систему администратора создать новую страницу и изменить ее содержимое с помощью CSRF-атаки.
CVE-2022-3062Плагин Simple File List WordPress до версии 4.4.12 не экранирует параметры перед выводом их обратно в атрибуты, что приводит к отраженному межсайтовому скриптингу.
CVE-2025-68591Уязвимость с пропуском авторизации в списке простых файлов Mitchell Bennis Simple File List позволяет использовать неправильно настроенные уровни безопасности управления доступом. Эта проблема затрагивает простой список файлов: от n/a до <= 6.1.18.
CVE-2024-10146Плагин Simple File List WordPress версий до 6.1.13 не выполняет очистку и экранирование сгенерированного URL-адреса перед его выводом в атрибуте, что приводит к отраженному межсайтовому скриптингу, который может быть использован против администраторов.
CVE-2025-47450Отсутствует авторизация в Mitchell Bennis Simple File List, что позволяет эксплуатировать неправильно настроенные уровни безопасности доступа. Это затрагивает Simple File List версий до 6.1.13 [1].
Решение: Обновите версию до 6.1.14 или более поздней.
Источники:
- [1] https://patchstack.com/database/wordpress/plugin/simple-file-list/vulnerability/wordpress-simple-file-list-6-1-13-settings-change-vulnerability?_s_id=cve
CVE-2023-39924Авторизованная (admin+) сохраненная уязвимость межсайтового скриптинга (XSS) в плагине Mitchell Bennis Simple File List <= 6.1.9.
CVE-2023-1025Плагин Simple File List WordPress до версии 6.0.10 не санирует и не экранирует некоторые свои настройки, что может позволить пользователям с высокими привилегиями, таким как администратор, выполнять атаки с использованием сохраненного межсайтового скриптинга, даже если возможность unfiltered_html запрещена (например, в многосайтовой установке).
CVE-2022-3207Плагин Simple File List WordPress до версии 4.4.12 не выполняет очистку и экранирование некоторых своих настроек, что может позволить пользователям с высокими привилегиями, таким как администратор, выполнять сохраненные атаки межсайтового скриптинга, даже если возможность unfiltered_html запрещена (например, в многосайтовой установке).
CVE-2026-12119CVE-2026-12119
CVE-2026-11912CVE-2026-11912
CVE-2026-11911CVE-2026-11911