CVE-2026-104752

Wtyczka Rank Math SEO dla WordPressa przed wersją 1.0.280 nie escapuje przechowywanej wartości źródła przekierowania przed wyświetleniem jej w widoku listy administracyjnej, co pozwala użytkownikom, którzy mogą zarządzać przekierowaniami (domyślnie Administratorzy), na przechowywanie JavaScript, który wykonuje się w sesji każdego użytkownika, który później otworzy ten widok, w tym Super Administratora w multisite.

Wtyczka Rank Math SEO dla WordPressa przed wersją 1.0.280 nie odpowiednio sanityzuje i nie escapuje parametru przed użyciem go w zapytaniu SQL, co pozwala użytkownikom z wysokimi uprawnieniami, takim jak administratorzy, na przeprowadzenie ataków SQL injection.

Wtyczka Rank Math SEO dla WordPressa przed wersją 1.0.277 nie przeprowadza kontroli uprawnień podczas zbiorczych aktualizacji metadanych dotyczących terminów taksonomii i ponownie używa dostarczonego identyfikatora obiektu w różnych typach obiektów, co pozwala użytkownikom z rolą Autora i wyżej modyfikować metadane SEO terminów, których nie mogą edytować, oraz nadpisywać tytuły postów należących do innych użytkowników.

Wtyczka Rank Math SEO dla WordPressa przed wersją 1.0.277 nie weryfikuje, czy żądający użytkownik ma uprawnienia do odczytu konkretnego posta, zanim zwróci jego treść i metadane SEO. Umożliwia to użytkownikom z rolą Autora i wyżej odczytanie tytułu, treści i metadanych niepublicznych postów innych użytkowników.

Wtyczka Rank Math SEO dla WordPressa przed wersją 1.0.277 nie weryfikuje, czy użytkownik ma uprawnienia do edycji modyfikowanego obiektu przed aktualizacją jego metadanych indeksowania SEO. Umożliwia to użytkownikom z rolą Autora i wyżej zmianę tych metadanych na treściach, taksonomiach i profilach użytkowników, których nie posiadają, oraz usuwanie treści innych użytkowników z mapy strony i indeksu wyszukiwarki.

Wtyczka Rank Math SEO dla WordPressa przed wersją 1.0.277 nie weryfikuje, czy post, którego schemat renderuje na stronie, jest publicznie widoczny. Umożliwia to nieuwierzytelnionym odwiedzającym ujawnienie schematu i powiązanej treści postów w wersji roboczej, oczekujących, prywatnych, zaplanowanych i chronionych hasłem.

Wtyczka Rank Math SEO dla WordPressa przed wersją 1.0.277 nie sprawdza, czy użytkownik żądający automatycznej poprawki SEO posiada uprawnienia wymagane przez WordPressa do zmienianych ustawień, co pozwala użytkownikom z rolą Edytora na modyfikowanie ogólnych ustawień WordPressa zarezerwowanych dla administratorów.

Podatność umożliwiająca zdalne wykonanie kodu (RCE) przez użytkownika z rolą autora w wtyczce Rank Math SEO w wersjach do 1.0.276 włącznie.

Podatność Cross Site Scripting (XSS) w wtyczce Rank Math SEO w wersjach do 1.0.274.1, umożliwiająca nieuwierzytelnionemu atakującemu wstrzyknięcie złośliwego skryptu do stron.

W Rank Math SEO w wersjach do 1.0.271 występuje problem z kontrolą dostępu, który może umożliwić nieautoryzowanym użytkownikom dostęp do funkcji subskrypcyjnych.