CVE-2026-104953

ŚrednieCVSS 6.8

Opublikowano: 07/10/2026(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 07/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 13 - wyżej niż 13% wszystkich znanych CVE

Streszczenie

Wtyczka MPG WordPress przed wersją 4.2.3 nieprawidłowo waliduje strukturę importowanych danych projektu przed użyciem ich w zapytaniu do bazy danych, co pozwala użytkownikom z rolą Edytora lub wyższą na przeprowadzenie ataków SQL injection i odczyt wrażliwych danych, takich jak hashes haseł.

Ocena ryzyka

Atakujący z uprawnieniami edytora może uzyskać dostęp do wrażliwych danych, w tym haseł użytkowników, co może prowadzić do przejęcia kont i naruszenia integralności systemu.

Rekomendacja

Zaleca się natychmiastową aktualizację wtyczki MPG do wersji 4.2.3 lub nowszej oraz ograniczenie uprawnień edytorskich do zaufanych użytkowników.

Inne podatności w MPG WordPress plugin

CVE-2026-13726Wysokie
Wtyczka MPG WordPress przed wersją 4.1.8 nie sanityzuje i nie zabezpiecza parametru przed odbiciem go w odpowiedzi. Nieuwierzytelnieni atakujący mogą przeprowadzić Reflected Cross-Site Scripting wobec ofiary, która zostanie nakłoniona do wysłania spreparowanego żądania.

Oryginalny opis (angielski, źródło NVD)

The MPG WordPress plugin before 4.2.3 does not properly validate the structure of imported project data before using it in a database query, allowing users with the Editor role or higher to perform SQL injection attacks and read sensitive data such as password hashes.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS