CVE-2026-103964
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka Download Manager dla WordPressa do wersji 3.3.71 włącznie jest podatna na ujawnienie wrażliwych informacji przez parametr 'first_name'. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą wyodrębnić pełny nagłówek Cookie administratora, w tym sesyjne ciasteczka wordpress_logged_in_*, z wiadomości o zawieszeniu wysyłanej podczas uwierzytelnionego żądania administratora. Umożliwia to pełne przejęcie sesji i konta.
Ocena ryzyka
Organizacja narażona jest na przejęcie konta administratora, co może prowadzić do całkowitej kompromitacji strony WordPress, w tym dostępu do danych i modyfikacji treści.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Download Manager do najnowszej dostępnej wersji, która zawiera poprawkę tej luki. Dodatkowo warto ograniczyć uprawnienia użytkowników i monitorować aktywność kont o podwyższonych uprawnieniach.
Inne podatności w Download Manager
Zobacz wszystkie- CVE-2026-12054Średnie
Wtyczka Download Manager dla WordPressa jest podatna na odbite skrypty krzyżowe (Reflected XSS) poprzez parametr 'REFERRER' we wszystkich wersjach do 3.3.57 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się w przeglądarce ofiary.
- CVE-2026-9696Średnie
Wtyczka Download Manager dla WordPressa jest podatna na przechowywany atak XSS przez parametr 'not_found' we wszystkich wersjach do 3.3.58 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie do zainfekowanej strony.
- CVE-2026-102401Średnie
Wtyczka Download Manager dla WordPressa do wersji 3.3.71 włącznie jest podatna na Stored Cross-Site Scripting przez parametr 'regurl' z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie kontrybutora mogą wstrzykiwać dowolne skrypty webowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wstrzyknięty payload działa tylko dla niezalogowanych odwiedzających, ponieważ podatny szablon login-form.php jest warunkowany na !is_user_logged_in().
- CVE-2026-94405Średnie
Wtyczka Download Manager (wersje do 3.3.71) ma podatność Authorization Bypass Through User-Controlled Key, umożliwiającą odzyskanie osadzonych wrażliwych danych. Atakujący może wykorzystać kontrolowany przez użytkownika klucz do ominięcia autoryzacji.
- CVE-2026-97338Średnie
Wtyczka Download Manager dla WordPressa jest podatna na trwałe Cross-Site Scripting (Stored XSS) poprzez Display Name we wszystkich wersjach do 3.3.70 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej Subscriber może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wymaga to obecności shortcode'u [wpdm_edit_profile] na stronie front-endu dostępnej dla użytkowników na poziomie Subscriber, którzy mogą następnie przesłać wielokrotnie zakodowany ładunek poprzez pole display name, aby obejść sanityzację.
- CVE-2026-86609Wysokie
Wtyczka Download Manager przed wersją 7.5.6 nie sanityzuje ani nie escapuje danych przesyłanych przez formularz subskrypcji pobierania zablokowanego adresem e-mail przed wyświetleniem ich z powrotem na stronie administracyjnej. Może to umożliwić nieuwierzytelnionym atakującym przeprowadzanie ataków Stored Cross-Site Scripting przeciwko administratorom. Dotyczy to wyłącznie komercyjnej edycji Pro; darmowa wtyczka Download Manager przed wersją 7.5.6 opublikowana pod tym samym slugiem nie zawiera tej funkcji.
- CVE-2026-92714Średnie
Wtyczka Download Manager dla WordPressa jest podatna na Insecure Direct Object Reference w wersjach do 3.3.68 włącznie przez funkcję duplicate() podpiętą do admin_init. Powodem jest sprawdzanie tylko ogólnej zdolności 'edit_posts' i statycznego nonce, bez autoryzacji na poziomie obiektu. Uwierzytelnieni atakujący z dostępem na poziomie Author i wyższym mogą duplikować dowolne pakiety Download Manager, w tym te należące do administratorów, kopiując metadane pakietu, takie jak chronione pliki, ograniczenia ról i ustawienia haseł, do własnego klonu, który mogą edytować i uzyskać dostęp do chronionych plików.
- CVE-2026-16685Średnie
Wtyczka Download Manager dla WordPressa do wersji 3.3.66 zawiera podatność na Stored Cross-Site Scripting (XSS) poprzez atrybut 'icon' w shortcode. Uwierzytelnieni atakujący z dostępem na poziomie współautora i wyższym mogą wstrzyknąć dowolne skrypty webowe, które wykonają się przy każdym dostępie do zainfekowanej strony.
- CVE-2026-14292Średnie
Wtyczka Download Manager dla WordPressa przed wersją 3.3.66 nieprawidłowo koduje tytuł pakietu przed wyświetleniem go w szablonach pakietów. Użytkownicy z rolą Autora lub wyższą mogą przechowywać tytuł, który powoduje wykonanie dowolnego kodu JavaScript w przeglądarce każdego użytkownika, w tym nieuwierzytelnionych gości, którzy wyświetlą stronę z pakietem.
- CVE-2026-14343Średnie
Wtyczka Download Manager dla WordPressa do wersji 3.3.61 włącznie zawiera podatność na trwałe ataki XSS przez atrybuty 'note_before' i 'note_after' w shortcode'ach. Wynika to z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.
Oryginalny opis (angielski, źródło NVD)
The Download Manager plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 3.3.71 via the 'first_name' parameter. This makes it possible for authenticated attackers, with subscriber-level access and above, to extract the administrator's full Cookie header, including wordpress_logged_in_* session cookies, from the suspension email sent during the administrator's authenticated request, enabling full session hijack and account takeover. Exploitation requires an administrator to perform the Suspend action against the attacker's account, which causes the plugin to synchronously compile and send the suspension email inside the administrator's authenticated HTTP request — making the administrator's session cookies available to the template engine at send time.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS