CVE-2026-103694
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Mobile builder w wersji do 1.4.2 włącznie nie ogranicza prawidłowo, które klucze meta użytkownika zalogowany użytkownik może aktualizować przez jedną z jej tras REST. Umożliwia to każdemu użytkownikowi z samodzielnie zarejestrowanym kontem, np. klientowi, przyznanie sobie roli administratora.
Ocena ryzyka
Każdy użytkownik mogący zarejestrować konto, np. klient, może eskalować swoje uprawnienia do roli administratora, przejmując pełną kontrolę nad witryną WordPress.
Rekomendacja
Zaktualizuj wtyczkę Mobile builder do wersji nowszej niż 1.4.2, jeśli jest dostępna. W przeciwnym razie wyłącz i usuń wtyczkę do czasu wydania poprawki.
Inne podatności w Mobile builder WordPress plugin
Zobacz wszystkie- CVE-2026-103696Nieznane
Wtyczka WordPress Mobile builder w wersji do 1.4.2 włącznie nie sanityzuje ani nie escapuje parametru przed użyciem go w zapytaniu SQL. Pozwala to nieuwierzytelnionym użytkownikom na przeprowadzanie ataków SQL injection na witrynach, które uruchamiają również dodatek WCFM Delivery.
- CVE-2026-103695Wysokie
Wtyczka WordPress Mobile builder w wersji do 1.4.2 włącznie nie sanityzuje ani nie escapuje parametru przed użyciem go w zapytaniu SQL. Umożliwia to nieuwierzytelnionym użytkownikom przeprowadzanie ataków SQL injection.
Oryginalny opis (angielski, źródło NVD)
The Mobile builder WordPress plugin through 1.4.2 does not properly restrict which user meta keys a logged-in user can update through one of its REST routes, allowing any user with a self-registered account, such as a customer, to grant themselves the administrator role.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS