CVE-2025-66068
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka InstaWP Connect zawiera lukę w autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 0.1.1.9 włącznie.
Ocena ryzyka
Osoba atakująca może uzyskać nieautoryzowany dostęp do funkcji administracyjnych, co może prowadzić do przejęcia kontroli nad stroną.
Rekomendacja
Zaktualizuj wtyczkę InstaWP Connect do najnowszej dostępnej wersji, która zawiera poprawkę bezpieczeństwa.
Inne podatności w InstaWP Connect
Zobacz wszystkie- CVE-2026-73401Średnie
Podatność polegająca na nieuwierzytelnionym złamaniu kontroli dostępu w wtyczce InstaWP Connect w wersjach do 0.1.3.7.
- CVE-2026-13457Wysokie
Wtyczka InstaWP Connect – 1-click WP Staging & Migration dla WordPressa jest podatna na zdalne wykonanie kodu we wszystkich wersjach do 0.1.3.6 włącznie. Wtyczka przechowuje zaszyfrowany plik opcji jako options-{migrate_key}.txt w katalogu wp-content/instawpbackups/ bez zabezpieczenia przed listowaniem katalogów, co ujawnia 40-znakowy migrate_key na serwerach Apache z włączonym indeksowaniem katalogów. Atakujący może wyprowadzić hasło AES-256-CBC przez SHA256(migrate_key), odszyfrować plik opcji i odzyskać api_signature, co umożliwia nieuwierzytelnionym atakującym uzyskanie danych dostępowych do bazy danych i api_signature. Eksploatacja wymaga hostingu na Apache z włączonym listowaniem katalogów i jest ograniczona czasowo do okresu migracji.
- CVE-2026-39504Średnie
Wtyczka InstaWP Connect dla WordPressa zawiera brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 0.1.2.5 włącznie.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization vulnerability in InstaWP InstaWP Connect instawp-connect allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects InstaWP Connect: from n/a through <= 0.1.1.9.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS