CVE-2026-106646

ŚrednieCVSS 5.9

Opublikowano: 14/10/2026(UTC)Zaktualizowano: 14/10/2026(UTC)Przetłumaczono: 14/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.17%

Percentyl 6 - wyżej niż 6% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress Classified Listing przed wersją 6.1.1 nie weryfikuje, czy żądający jest właścicielem lub może edytować docelowy wpis, gdy żądanie galerii odnosi się do niezałączonego elementu multimedialnego. Umożliwia to każdemu uwierzytelnionemu użytkownikowi z kontem na poziomie subskrybenta modyfikowanie, uszkodzenie lub usunięcie załączników biblioteki multimedialnej należących do innych użytkowników, w tym administratorów.

Ocena ryzyka

Nieautoryzowana modyfikacja lub usunięcie plików multimedialnych może prowadzić do utraty danych i zakłócenia działania witryny. Ryzyko jest szczególnie istotne w serwisach z wieloma użytkownikami.

Rekomendacja

Zaktualizuj wtyczkę Classified Listing do wersji 6.1.1 lub nowszej. Rozważ ograniczenie uprawnień subskrybentów do biblioteki multimedialnej.

Inne podatności w Classified Listing WordPress plugin

CVE-2026-16281Wysokie
Wtyczka Classified Listing dla WordPressa przed wersją 6.1.1 nie weryfikuje, czy wywołujący jest właścicielem lub ma uprawnienia do edycji docelowej oferty przed wykonaniem akcji AJAX edycji obrazów AI, która usuwa lub dołącza multimedia. Pozwala to każdemu uwierzytelnionemu użytkownikowi, w tym subskrybentowi, na trwałe usuwanie załączników z dowolnej oferty innego użytkownika oraz dołączanie plików do takiej oferty.

Oryginalny opis (angielski, źródło NVD)

The Classified Listing WordPress plugin before 6.1.1 does not verify that the requester owns or can edit the target listing when a gallery request references an unattached media item, allowing any authenticated user with a subscriber-level account to modify, corrupt or delete media-library attachments owned by other users, including administrators.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS