CVE-2025-69028
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Podatność braku autoryzacji w wtyczce BoldGrid weForms (wersje do 1.6.25 włącznie) pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Nieautoryzowany użytkownik może wykonać akcje, do których nie powinien mieć uprawnień.
Ocena ryzyka
Atakujący może obejść kontrolę dostępu i wykonać nieautoryzowane operacje w serwisie WordPress, co może prowadzić do modyfikacji danych lub eskalacji uprawnień. Wtyczka jest szeroko stosowana, co zwiększa ryzyko masowych ataków.
Rekomendacja
Zaktualizuj wtyczkę weForms do najnowszej wersji, jeśli jest dostępna, lub rozważ jej wyłączenie do czasu wydania poprawki. Sprawdź logi pod kątem nietypowych żądań do punktów końcowych wtyczki.
Powiązane podatności
- CVE-2026-96809Krytyczne
Wtyczka EduAdmin Booking (eduadmin-booking) firmy MultiNet Interactive AB zawiera lukę SQL Injection (niewłaściwa neutralizacja specjalnych elementów w komendach SQL). Umożliwia ona atakującemu przeprowadzenie ślepej iniekcji SQL. Problem dotyczy wersji od n/a do przed 6.0.0.
- CVE-2026-96331Krytyczne
Wtyczka Ajax Search Pro (ajax-search-pro) firmy wpdreams zawiera lukę SQL Injection (niewłaściwa neutralizacja specjalnych elementów w komendach SQL). Umożliwia ona atakującemu przeprowadzenie ślepej iniekcji SQL. Problem dotyczy wersji od n/a do 4.29.1 włącznie.
- CVE-2026-96330Krytyczne
Wtyczka tagDiv Opt-In Builder (td-subscription) firmy tagDiv zawiera lukę SQL Injection (niewłaściwa neutralizacja specjalnych elementów w komendach SQL). Umożliwia ona atakującemu przeprowadzenie ślepej iniekcji SQL. Problem dotyczy wersji od n/a do 1.7.6 włącznie.
- CVE-2026-96328Krytyczne
Wtyczka JNews - Pay Writer (do wersji 12.0.1) zawiera podatność typu SQL Injection wynikającą z niewłaściwej neutralizacji znaków specjalnych w zapytaniach SQL. Umożliwia to atakującemu przeprowadzenie ataku Blind SQL Injection.
- CVE-2026-96327Krytyczne
Wtyczka WPLMS (wersje przed 1.9.9.8.2) zawiera podatność typu SQL Injection wynikającą z niewłaściwej neutralizacji znaków specjalnych w zapytaniach SQL. Umożliwia to atakującemu przeprowadzenie ataku Blind SQL Injection.
- CVE-2026-94503Krytyczne
Wtyczka Zombify (do wersji 1.7.7) zawiera podatność typu Unrestricted Upload of File with Dangerous Type, która pozwala na przesłanie i wykonanie złośliwego skryptu (web shell) na serwerze.
- CVE-2026-93947Krytyczne
Wtyczka Traveler (do wersji 3.2.9) zawiera podatność typu SQL Injection wynikającą z niewłaściwej neutralizacji znaków specjalnych w zapytaniach SQL. Umożliwia to atakującemu przeprowadzenie ataku Blind SQL Injection.
- CVE-2026-107935Krytyczne
W gvproxy, forwarderze sieciowym dostarczanym przez pakiet gvisor-tap-vsock, wykryto podatność typu path traversal. Nieuwierzytelniony endpoint /services/forwarder/expose nie waliduje ścieżki gniazda podanej przez wywołującego, co pozwala atakującemu na usunięcie dowolnych plików w systemie hosta.
- CVE-2026-107909Krytyczne
W FalkorDB przed wersją 4.20.0 występuje błąd zapisu poza granicami bufora na stercie w funkcjach ws_read_frame (src/bolt/ws.c) i buffer_apply_mask (src/bolt/buffer.c). Zdalny nieuwierzytelniony atakujący może wysłać ramkę WebSocket z 64-bitową rozszerzoną długością ładunku do portu Bolt, powodując odmowę usługi i potencjalne uszkodzenie pamięci sterty. Podatność dotyczy tylko wdrożeń z włączonym punktem końcowym Bolt (BOLT_PORT, domyślnie wyłączony).
- CVE-2026-107908Krytyczne
W FalkorDB przed wersją 4.20.0 występuje błąd zapisu poza granicami bufora na stercie w funkcji BoltReadHandler (src/bolt/bolt_api.c). Zdalny nieuwierzytelniony atakujący może wysłać wiadomość Bolt RESET z wybranym przez siebie rozmiarem fragmentu do portu Bolt, powodując odmowę usługi i potencjalne wykonanie dowolnego kodu. Podatność dotyczy tylko wdrożeń z włączonym punktem końcowym Bolt (BOLT_PORT, domyślnie wyłączony).
Oryginalny opis (angielski, źródło NVD)
Missing Authorization vulnerability in BoldGrid weForms weforms allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects weForms: from n/a through <= 1.6.25.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS