CVE-2026-107320
NieznaneStreszczenie
Wtyczka GamiPress dla WordPressa przed wersją 8.0.6 nie autoryzuje poprawnie dostępu do prywatnych wpisów dziennika aktywności, co pozwala nieuwierzytelnionym użytkownikom na pobieranie prywatnych dzienników aktywności wszystkich użytkowników. Jest to niepełna poprawka CVE-2026-13450.
Ocena ryzyka
Atakujący może uzyskać dostęp do prywatnych dzienników aktywności wszystkich użytkowników, co może ujawnić wrażliwe informacje o działaniach użytkowników i naruszyć prywatność.
Rekomendacja
Zaktualizuj wtyczkę GamiPress do wersji 8.0.6 lub nowszej, która zawiera pełną poprawkę autoryzacji dostępu do prywatnych dzienników aktywności.
Inne podatności w GamiPress WordPress plugin
Zobacz wszystkie- CVE-2026-107319Nieznane
Wtyczka WordPress GamiPress przed wersją 8.0.6 nie sprawdza uprawnień ani własności w jednej z uwierzytelnionych akcji AJAX. Pozwala to każdemu zalogowanemu użytkownikowi, np. Subskrybentowi, odczytać dowolne wpisy z dziennika aktywności, w tym salda punktów i osiągnięcia innych użytkowników oraz nazwy administratorów wykonujących ręczne operacje na punktach.
- CVE-2026-77764Średnie
Wtyczka GamiPress WordPress przed wersją 7.9.9.6 nie ogranicza prawidłowo funkcji śledzenia oglądania wideo. Umożliwia to użytkownikom z rolą tak niską jak Subskrybent przyznawanie skonfigurowanych punktów gamifikacji, osiągnięć i rang dowolnym użytkownikom, w tym administratorom, oraz gromadzenie ich bez ograniczeń.
Oryginalny opis (angielski, źródło NVD)
The GamiPress WordPress plugin before 8.0.6 does not properly authorize access to private activity log entries, allowing unauthenticated users to retrieve the private activity logs of all users. This is an incomplete fix of CVE-2026-13450.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS