CVE-2025-2815
WysokieStreszczenie
Wtyczka Administrator Z dla WordPressa jest podatna na nieautoryzowaną modyfikację danych, co może prowadzić do eskalacji uprawnień z powodu braku sprawdzenia uprawnień w funkcji adminz_import_backup() we wszystkich wersjach do 2025.03.24. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie Subskrybenta i wyżej, aktualizację dowolnych opcji na stronie WordPress.
Ocena ryzyka
Atakujący mogą zmienić domyślną rolę rejestracji na administratora oraz włączyć rejestrację użytkowników, co pozwala im uzyskać dostęp administracyjny do podatnej witryny. To stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację wtyczki Administrator Z do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, warto przeprowadzić audyt uprawnień użytkowników oraz monitorować aktywność na stronie.
Powiązane podatności
- CVE-2026-102425Krytyczne
W rozszerzeniu Joomla Balbooa Forms w wersjach poniżej 2.4.3.4 występuje zdalne wykonanie kodu (RCE) bez uwierzytelnienia poprzez wstrzyknięcie shortcode pola. Komponent obsługuje kod PHP zdefiniowany przez administratora, uruchamiany po publicznym wysłaniu formularza, i przed wywołaniem eval() zastępuje shortcody surowymi wartościami przesłanymi przez odwiedzającego. Aby wykorzystać podatność, publiczny formularz musi używać opcjonalnej akcji PHP po wysłaniu i interpolować shortcode kontrolowany przez atakującego w ciągu PHP w podwójnych cudzysłowach.
- CVE-2023-54400Krytyczne
Fumasoft Fumeng Cloud zawiera podatność na wstrzyknięcie SQL w punkcie końcowym AjaxMethod.ashx, która pozwala nieuwierzytelnionym zdalnym atakującym wstrzyknąć dowolny kod SQL przez parametr Name akcji getEmpByname bez żadnego uwierzytelnienia. Atakujący mogą wykorzystać techniki UNION-based SQL injection przeciwko backendowi Microsoft SQL Server do wyodrębnienia, ujawnienia i modyfikacji zawartości bazy danych, z możliwością dalszego przejęcia serwera. Dowody wykorzystania zostały po raz pierwszy zaobserwowane przez Shadowserver Foundation 2023-10-18.
- CVE-2026-22094Krytyczne
Firmware urządzenia EVbee DC-80 zawiera słabe, zaszyte na stałe hasło roota, co pozwala atakującym zalogować się jako root przez demon SSH wystawiony do sieci. Podatność umożliwia pełne przejęcie urządzenia przez każdego, kto ma dostęp sieciowy do portu SSH.
- CVE-2026-82973Krytyczne
Nieprawidłowa neutralizacja sekwencji CRLF podczas konstruowania poleceń IMAP w psyb0t/docker-mailbox przed wersją 0.4.13 pozwala zdalnemu nieuwierzytelnionemu atakującemu, gdy uwierzytelnianie tokenem bearer nie jest skonfigurowane, wstrzyknąć dodatkowe polecenia IMAP do uwierzytelnionego połączenia ze skrzynką nadrzędną poprzez spreparowane wartości folderu, UID lub wyszukiwania.
- CVE-2026-7192Krytyczne
Podatność polegająca na przepełnieniu bufora na stosie w routerze Dbit T-CPE301K 4G WiFi mini pozwala uwierzytelnionemu atakującemu wywołać odmowę usługi (DoS) i restart systemu poprzez spreparowane żądanie HTTP POST skierowane do punktu końcowego '/js/common/do_cmd.js' z nadmiernie długim parametrem, który nadpisuje rejestry PC i RA.
- CVE-2026-100819Krytyczne
Podatność polegająca na ucieczce z piaskownicy (sandbox escape) wynikająca z nieprawidłowych warunków brzegowych w komponencie XPCOM. Podatność została naprawiona w wersjach Firefox ESR 153.4, Firefox 157, Firefox ESR 115.42 oraz Firefox ESR 140.17.
- CVE-2026-100818Krytyczne
Podatność umożliwia ucieczkę z piaskownicy z powodu użycia po zwolnieniu (use-after-free) w komponencie Widget: Gtk. Została naprawiona w Firefox ESR 153.4, Firefox 157 i Firefox ESR 140.17.
- CVE-2026-100811Krytyczne
Podatność umożliwia ucieczkę z piaskownicy z powodu użycia po zwolnieniu (use-after-free) w komponencie DOM: Core & HTML. Została naprawiona w Firefox ESR 153.4, Firefox 157 i Firefox ESR 140.17.
- CVE-2026-100804Krytyczne
Podatność umożliwia ucieczkę z piaskownicy z powodu użycia po zwolnieniu (use-after-free) w komponencie Preferences: Backend. Została naprawiona w Firefox 157.
- CVE-2026-100800Krytyczne
Podatność umożliwia ucieczkę z piaskownicy z powodu użycia po zwolnieniu (use-after-free) w komponencie Disability Access APIs. Została naprawiona w Firefox ESR 153.4 i Firefox 157.
Oryginalny opis (angielski, źródło NVD)
The Administrator Z plugin for WordPress is vulnerable to unauthorized modification of data that can lead to privilege escalation due to a missing capability check on the adminz_import_backup() function in all versions up to, and including, 2025.03.24. This makes it possible for authenticated attackers, with Subscriber-level access and above, to update arbitrary options on the WordPress site. This can be leveraged to update the default role for registration to administrator and enable user registration for attackers to gain administrative user access to a vulnerable site. CVE-2025-26959 is a duplicate of this issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS