CVE-2026-109319

ŚrednieCVSS 4.3

Opublikowano: 12/10/2026(UTC)Zaktualizowano: 15/10/2026(UTC)Przetłumaczono: 12/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

Wtyczka Grav Guestbook 0.5.0 i 0.5.1 zawiera podatności na brak autoryzacji i cross-site request forgery w akcjach moderacji Admin: delete, approve i approveAll. Uwierzytelnieni administratorzy bez uprawnienia admin.guestbook lub zewnętrzne strony nadużywające sesji moderatora przez żądania GET bez nonce mogą usuwać lub zatwierdzać wpisy w księdze gości.

Ocena ryzyka

Ryzyko obejmuje nieautoryzowane usuwanie lub zatwierdzanie wpisów, co może prowadzić do utraty danych lub manipulacji treścią.

Rekomendacja

Zaktualizuj wtyczkę Grav Guestbook do wersji 0.5.2 lub nowszej, która zawiera poprawki egzekwujące autoryzację i ochronę CSRF.

Inne podatności w Grav Guestbook

CVE-2026-109322Średnie
Wtyczka Grav Guestbook przed 0.5.2 zawiera podatność na trwały cross-site scripting, ponieważ jej handlery AJAX Load more i Admin Load all wstawiają zapisane pola autora i wiadomości do DOM jako nieucieczony HTML przez jQuery. Nieuwierzytelnieni odwiedzający mogą wysyłać znaczniki, które wykonują się w przeglądarkach innych odwiedzających, a w wersjach 0.5.0 i 0.5.1 również w sesjach moderacji administratora.

Oryginalny opis (angielski, źródło NVD)

Grav Guestbook plugin 0.5.0 and 0.5.1 contains missing authorization and cross-site request forgery vulnerabilities in Admin moderation actions delete, approve, and approveAll. Authenticated Admin users lacking the admin.guestbook permission, or external sites abusing a moderator's session via nonce-less GET requests, can delete or approve Guestbook entries.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS