CVE-2026-102002

NiskieCVSS 3.1

Opublikowano: 02/10/2026(UTC)Zaktualizowano: 03/10/2026(UTC)Przetłumaczono: 02/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.29%

Percentyl 19 - wyżej niż 19% wszystkich znanych CVE

Streszczenie

Wtyczka Otter Blocks dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 3.2.6 włącznie przez parametr 'otter_form_widget_filter'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wyodrębnienie adresów e-mail pięciu ostatnich osób przesyłających formularze, dat ich przesłania oraz całkowitej liczby przesłanych formularzy na stronie.

Ocena ryzyka

Ujawnienie adresów e-mail i danych subskrybentów może naruszyć prywatność użytkowników, prowadzić do kampanii phishingowych i naruszenia przepisów o ochronie danych.

Rekomendacja

Zaktualizuj wtyczkę Otter Blocks do najnowszej wersji z poprawką. Dodatkowo ogranicz dostęp do formularzy i regularnie monitoruj logi dostępu.

Inne podatności w Otter Blocks

CVE-2026-4945Średnie
Wtyczka Otter Blocks dla WordPressa, we wszystkich wersjach do 3.1.7 włącznie, jest podatna na niebezpieczne bezpośrednie odwołania do obiektów (IDOR) w funkcji 'watch_checkout' z powodu braku walidacji klucza kontrolowanego przez użytkownika. Umożliwia to nieuwierzytelnionym atakującym zapłatę za produkt o niższej cenie, podczas gdy uzyskują uprawnienia do produktu premium, manipulując parametrem product_id niezależnie od price_id w adresie URL płatności Stripe.

Oryginalny opis (angielski, źródło NVD)

The Otter Blocks – Gutenberg Blocks, Page Builder for Gutenberg Editor & FSE plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 3.2.6 via the 'otter_form_widget_filter' parameter. This makes it possible for authenticated attackers, with subscriber-level access and above, to extract the email addresses of the five most recent form submitters, their submission dates, and the site's total form submission count. The widget is registered whenever the themeisle_blocks_form_emails option is non-empty — the normal state after any Form block has been saved — meaning the exposure is active on any standard site using the plugin's form feature.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS