Quick Playground <= 1.3.4 Authenticated Arbitrary File Read via Path Traversal (CVE-2026-2500)

漏洞概述 漏洞名称: Quick Playground <= 1.3.4 - Authenticated (Administrator+) Arbitrary File Read via 'filename' Parameter CVSS评分: 4.4 (Medium) CVE ID: CVE-2026-2500 发布日期: June 5, 2026 最后更新日期: June 6, 2026 研究人员: Pablo Santiago 影响范围 软件类型: Plugin 软件名称: quick-playground 受影响版本: <= 1.3.4 修复版本: 1.3.5 修复方案 修复建议: 更新到版本 1.3.5 或更新的已修补版本 漏洞描述 Quick Playground 插件在 WordPress 中存在路径遍历漏洞，影响所有版本至 1.3.4。该漏洞是由于 函数在处理用户提供的 'filename' POST 参数时，直接传递给 ，而没有进行任何验证、清理或路径限制。这使得具有管理员级别权限的攻击者可以读取服务器上的任意文件，例如 或 ，这些文件可能包含敏感信息。注意：此漏洞仅在网站与 WordPress Playground 同步（设置了 选项）或在 上运行时才可利用。 参考链接 plugins.trac.wordpress.org plugins.trac.wordpress.org plugins.trac.wordpress.org 近期漏洞 1. Quick Playground <= 1.3.3 - Unauthenticated Path Traversal to Arbitrary File Read via 'stylesheet' Parameter - CVE ID: CVE-2026-6403 - CVSS评分: 7.5 - 研究人员: Athiwat Tiprasaham (Jitada), Jittidee Aramsri (Boeing777) - 发布日期: May 14, 2026 2. Quick Playground <= 1.3.1 - Missing Authorization to Unauthenticated Arbitrary File Upload - CVE ID: CVE-2026-1830 - CVSS评分: 9.8 - 研究人员: Athiwat Tiprasaham (Jitada), Jittidee Aramsri (Boeing777), Vilsyone CHANTHAVONG (duJOKRKY), Wari Damkham - 发布日期: April 8, 2026 其他信息 版权声明: 2012-2026 Defiant Inc. MITE 版权: 1999-2026 The MITRE Corporation 联系方式 技术支持: 9am-8pm ET, 6am-5pm PT 和 2pm-1am UTC/GMT（不包括周末和节假日） 响应时间: 24小时支持，全年无休，1小时响应时间 相关链接 Terms of Service Privacy Policy and Notice at Collection Do Not Sell or Share My Personal Information 社交媒体 Facebook Twitter LinkedIn Instagram 订阅更新 订阅邮箱: you@example.com 订阅按钮: SIGN UP 版权信息 © 2012-2026 Defiant Inc. All Rights Reserved 其他链接 Products Support News About Stay Updated 免责声明 免责声明: 本页面内容仅供参考，不构成任何法律建议。具体操作请根据实际情况和专业人士指导进行。 总结 Quick Playground 插件存在路径遍历漏洞，影响版本 <= 1.3.4，建议更新至 1.3.5 或更高版本以修复该漏洞。

目標達成 すべての支援者に感謝 — 100%達成しました！

Quick Playground <= 1.3.4 Authenticated Arbitrary File Read via Path Traversal (CVE-2026-2500)

目標達成すべての支援者に感謝 — 100%達成しました！