CVE-2026-104728
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Wtyczka AutomatorWP dla WordPress jest podatna na obejście autoryzacji we wszystkich wersjach do 5.8.4 włącznie. Wynika to z nieprawidłowej weryfikacji, czy użytkownik jest upoważniony do wykonania akcji.
Ocena ryzyka
Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może wyliczyć wszystkie rekordy Fluent Forms, w tym identyfikatory i tytuły formularzy, z tabeli bazy danych fluentform_forms. Może to prowadzić do ujawnienia informacji o strukturze formularzy.
Rekomendacja
Zaktualizuj wtyczkę AutomatorWP do wersji nowszej niż 5.8.4, gdy tylko będzie dostępna, oraz rozważ ograniczenie uprawnień subskrybentów.
Inne podatności w AutomatorWP
Zobacz wszystkie- CVE-2026-78266Średnie
Wtyczka AutomatorWP w wersjach do 5.8.3 ma podatność polegającą na złamanej kontroli dostępu dla subskrybentów (Broken Access Control). Oznacza to, że użytkownik o roli subskrybenta może uzyskać nieautoryzowany dostęp do funkcji, do których nie powinien mieć uprawnień.
- CVE-2026-76074Średnie
Wtyczka AutomatorWP dla WordPressa do wersji 5.8.4 włącznie jest podatna na obejście autoryzacji z powodu niewłaściwego weryfikowania uprawnień użytkownika. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta lub wyższym mogą pobrać katalog list mailingowych Campaign Monitor, w tym identyfikatory i nazwy list, które powinny być dostępne tylko dla menedżerów.
- CVE-2026-76057Średnie
Wtyczka AutomatorWP dla WordPressa do wersji 5.8.4 włącznie jest podatna na obejście autoryzacji z powodu niewłaściwego weryfikowania uprawnień użytkownika. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta lub wyższym mogą pobrać wszystkie dane formularzy ConvertKit skonfigurowane przez menedżera witryny, ujawniając szczegóły integracji przeznaczone tylko dla menedżerów.
- CVE-2026-42775Wysokie
W wersjach AutomatorWP do 5.7.2 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.
- CVE-2026-42650Wysokie
W wersjach AutomatorWP do 5.6.7 występuje podatność na nieautoryzowany atak Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.
- CVE-2026-40785Wysokie
Wersje AutomatorWP do 5.6.7 mają lukę w autoryzacji subskrybenta, co może prowadzić do nieautoryzowanego dostępu.
Oryginalny opis (angielski, źródło NVD)
The AutomatorWP – No-Code Workflow Automation, Integration & Webhooks Plugin, now with AI plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 5.8.4. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with subscriber-level access and above, to enumerate all Fluent Forms records, including form IDs and titles, from the fluentform_forms database table.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS