CVE-2025-30552
WysokieStreszczenie
Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce WordPress Admin Bar Improved umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji wtyczki od n/a do 3.3.5.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wykonania złośliwego kodu w kontekście użytkownika, co może prowadzić do kradzieży danych lub przejęcia konta. Organizacje powinny być świadome ryzyka związanego z używaniem podatnych wersji wtyczki.
Rekomendacja
Zaleca się aktualizację wtyczki WordPress Admin Bar Improved do najnowszej wersji, aby usunąć tę podatność. Dodatkowo warto wdrożyć mechanizmy ochrony przed CSRF w aplikacjach webowych.
Powiązane podatności
- CVE-2026-103041Krytyczne
LightLLM do wersji 1.2.0 w wdrożeniach multimodalnych udostępnia nieuwierzytelnioną usługę cache RPyC z włączoną deserializacją pickle na wszystkich interfejsach. Atakujący mogą wysyłać spreparowane obiekty szeregowane do odsłoniętych metod cache, aby wykonać dowolny kod z uprawnieniami usługi.
- CVE-2026-103040Krytyczne
LightLLM do wersji 1.2.0 zawiera podatność zdalnego wykonania kodu w usłudze router profiler, gdy uruchomiono z flagą --enable_profiling. Usługa udostępnia nieuwierzytelniony serwer RPyC z włączoną deserializacją pickle, umożliwiając atakującym wykonanie dowolnego kodu poprzez wysyłanie spreparowanych obiektów szeregowych do kolejki poleceń profilera.
- CVE-2026-102792Krytyczne
Wykryto podatność w Ziroom ZHOME A0101 1.0.1.0. Dotyczy funkcji set_syslog w pliku /api/ZRnetwork/set_syslog. Manipulacja argumentami conloglevel/log_size prowadzi do wstrzyknięcia poleceń. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny i może być użyty. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział w żaden sposób.
- CVE-2026-72510Krytyczne
Parametr "supplier_no" używany w funkcji wyszukiwania alokacji biznesowej jest podatny na czasową ślepą iniekcję SQL.
- CVE-2026-72507Krytyczne
Parametr "reportType" w funkcji raportu podsumowania produktów w sekcji raportów bilansujących jest podatny na czasową ślepą iniekcję SQL.
- CVE-2026-71379Krytyczne
Endpoint eksportu plików pozwala każdemu nieuwierzytelnionemu atakującemu na eksport dowolnych tabel bazy danych poprzez wysłanie spreparowanego żądania POST.
- CVE-2026-70356Krytyczne
Endpoint przesyłania plików TMS nie egzekwuje ograniczeń typu plików po stronie serwera, co pozwala atakującemu na przesłanie i wykonanie dowolnych plików PHP na serwerze WWW.
- CVE-2026-68954Krytyczne
Parametr "pattern" używany w funkcji wyszukiwania na stronie głównej aplikacji TMS jest podatny na czasową ślepą iniekcję SQL.
- CVE-2026-68068Krytyczne
Parametr "screenID" w funkcji przeglądarki kolejki transakcji elektronicznych w sekcji transakcji ręcznych jest podatny na czasową ślepą iniekcję SQL.
- CVE-2026-63713Krytyczne
Parametr "search" w funkcji przeglądania logów audytu w sekcji narzędzi jest podatny na czasową ślepą iniekcję SQL.
Oryginalny opis (angielski, źródło NVD)
Cross-Site Request Forgery (CSRF) vulnerability in Donald Gilbert WordPress Admin Bar Improved wordpress-admin-bar-improved allows Stored XSS.This issue affects WordPress Admin Bar Improved: from n/a through <= 3.3.5.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS