CVE-2026-107319
NieznaneStreszczenie
Wtyczka WordPress GamiPress przed wersją 8.0.6 nie sprawdza uprawnień ani własności w jednej z uwierzytelnionych akcji AJAX. Pozwala to każdemu zalogowanemu użytkownikowi, np. Subskrybentowi, odczytać dowolne wpisy z dziennika aktywności, w tym salda punktów i osiągnięcia innych użytkowników oraz nazwy administratorów wykonujących ręczne operacje na punktach.
Ocena ryzyka
Ujawnienie danych innych użytkowników, w tym informacji o administratorach, może prowadzić do naruszenia prywatności i ułatwić dalsze ataki socjotechniczne. Ryzyko jest szczególnie istotne w serwisach z wieloma użytkownikami i systemem punktowym.
Rekomendacja
Zaktualizuj wtyczkę GamiPress do wersji 8.0.6 lub nowszej. Do czasu aktualizacji rozważ ograniczenie dostępu do witryny lub wyłączenie funkcji dziennika aktywności.
Inne podatności w GamiPress WordPress plugin
Zobacz wszystkie- CVE-2026-107320Nieznane
Wtyczka GamiPress dla WordPressa przed wersją 8.0.6 nie autoryzuje poprawnie dostępu do prywatnych wpisów dziennika aktywności, co pozwala nieuwierzytelnionym użytkownikom na pobieranie prywatnych dzienników aktywności wszystkich użytkowników. Jest to niepełna poprawka CVE-2026-13450.
- CVE-2026-77764Średnie
Wtyczka GamiPress WordPress przed wersją 7.9.9.6 nie ogranicza prawidłowo funkcji śledzenia oglądania wideo. Umożliwia to użytkownikom z rolą tak niską jak Subskrybent przyznawanie skonfigurowanych punktów gamifikacji, osiągnięć i rang dowolnym użytkownikom, w tym administratorom, oraz gromadzenie ich bez ograniczeń.
Oryginalny opis (angielski, źródło NVD)
The GamiPress WordPress plugin before 8.0.6 does not perform a capability check or ownership verification on one of its authenticated AJAX actions, allowing any authenticated user, such as a Subscriber, to read arbitrary entries from its activity log, including other users' points balances and earned achievements and the usernames of the administrators who performed manual point award and revoke actions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS