CVE-2025-67466
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka Trinity Audio do WordPressa (wersje do 5.23.3 włącznie) zawiera podatność typu Missing Authorization, wynikającą z nieprawidłowo skonfigurowanej kontroli dostępu. Pozwala to nieuprawnionym użytkownikom na wykonywanie operacji, które powinny być chronione.
Ocena ryzyka
Osoba atakująca może wykorzystać błędnie skonfigurowane poziomy kontroli dostępu, aby uzyskać dostęp do funkcji lub danych, do których nie powinna mieć uprawnień. Może to prowadzić do nieautoryzowanych zmian w konfiguracji lub ujawnienia informacji.
Rekomendacja
Zaktualizuj wtyczkę Trinity Audio do wersji nowszej niż 5.23.3, gdy tylko poprawka będzie dostępna. Do czasu aktualizacji rozważ ograniczenie dostępu do funkcji wtyczki lub jej wyłączenie.
Powiązane podatności
- CVE-2026-96207Krytyczne
Nieprawidłowa walidacja certyfikatów w Microsoft Partner Center pozwala nieautoryzowanemu atakującemu na podniesienie uprawnień w sieci.
- CVE-2026-94510Krytyczne
Obejście autoryzacji przez klucz kontrolowany przez użytkownika w Microsoft Bookings pozwala nieautoryzowanemu atakującemu na podniesienie uprawnień w sieci.
- CVE-2026-88131Krytyczne
Podatność deserializacji niezaufanych danych w Microsoft Dataverse umożliwia nieautoryzowanemu atakującemu zdalne wykonanie kodu przez sieć.
- CVE-2026-77900Krytyczne
Brak uwierzytelniania dla krytycznej funkcji w Azure App Service umożliwia nieautoryzowanemu atakującemu zdalne wykonanie kodu przez sieć.
- CVE-2026-69435Krytyczne
Brak autoryzacji w Azure SRE Agent umożliwia uwierzytelnionemu atakującemu podniesienie uprawnień przez sieć.
- CVE-2026-84249Krytyczne
IBM Guardium Data Protection w wersjach 12.2 i 12.2.2 może pozwolić zdalnemu atakującemu na wykonywanie dowolnych operacji zarządzających z powodu braku uwierzytelniania dla krytycznej funkcji.
- CVE-2026-80381Krytyczne
IBM Guardium Data Protection w wersjach 12.0, 12.1 i 12.2 może pozwolić zdalnemu atakującemu na wykonywanie nieautoryzowanych instrukcji SQL z powodu podatności SQL injection.
- CVE-2026-75875Krytyczne
IBM Guardium Data Protection w wersjach 12.0, 12.1 i 12.2 może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu z powodu podatności path traversal.
- CVE-2026-107726Krytyczne
Hazelcast przed wersjami 5.4.5, 5.5.10 i 5.6.1 zawiera błąd niewłaściwej walidacji danych od złośliwego klienta, co umożliwia dowolny odczyt z pamięci heap i poza-heap członka klastra oraz przestrzeni adresowej procesu JVM. Ta sama wada może spowodować awarię członków klastra, a w niektórych konfiguracjach Hazelcast Enterprise Edition uszkodzenie pamięci z możliwym wykonaniem dowolnego kodu. Problem naprawiono w wersjach 5.4.5, 5.5.10, 5.6.1 i 5.7.0.
- CVE-2026-107722Krytyczne
fast-jwt od wersji 6.2.0 do 6.3.0 może błędnie zaklasyfikować tekst klucza publicznego RSA jako sekret HMAC, gdy klucz zawiera nie-białe znaki przed nagłówkiem PEM. W src/crypto.js funkcja performDetectPublicKeyAlgorithms przycina białe znaki, ale publicKeyPemMatcher pozostaje zakotwiczony na początku, więc komentarze, znaki kontrolne, znaki o zerowej szerokości lub tekst opakowujący mogą uniemożliwić wykrycie PEM i doprowadzić do użycia HMAC. Atakujący znający bajty klucza publicznego może podpisać dowolne oświadczenia HS256 tym materiałem publicznym, gdy HS256 jest wywnioskowany lub dozwolony, co skutkuje obejściem uwierzytelniania lub autoryzacji. Lista dozwolonych algorytmów tylko asymetrycznych zapobiega atakowi. Problem naprawiono w wersji 6.3.0.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization vulnerability in sergiotrinity Trinity Audio trinity-audio allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects Trinity Audio: from n/a through <= 5.23.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS