CVE-2025-49906
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Wtyczka WPComplete ma brak autoryzacji, co pozwala na dostęp do funkcji, które powinny być ograniczone przez listy kontroli dostępu (ACL). Podatność dotyczy wersji do 2.9.5.3 włącznie.
Ocena ryzyka
Nieautoryzowani użytkownicy mogą wykonywać operacje, do których nie mają uprawnień, co może prowadzić do naruszenia integralności danych lub eskalacji uprawnień.
Rekomendacja
Zaktualizuj wtyczkę WPComplete do najnowszej wersji z poprawką. Sprawdź i skonfiguruj odpowiednie uprawnienia dla ról użytkowników.
Inne podatności w WPComplete
Zobacz wszystkie- CVE-2026-66599Wysokie
Podatność na Cross Site Scripting (XSS) bez uwierzytelnienia w WPComplete w wersjach do 2.9.5.6. Umożliwia wstrzyknięcie złośliwego skryptu do strony.
- CVE-2026-77820Średnie
Wtyczka WPComplete dla WordPressa (wersje do 2.9.9.0 włącznie) jest podatna na trwały cross-site scripting (Stored XSS) poprzez atrybut shortcode 'empty' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z poziomem współtwórcy i wyższym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika. Wymaga to wersji premium oprogramowania. Uwaga: dotyczy to wyłącznie wersji pro.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization vulnerability in StellarWP WPComplete wpcomplete allows Accessing Functionality Not Properly Constrained by ACLs.This issue affects WPComplete: from n/a through <= 2.9.5.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS