CVE-2026-109927

WysokieCVSS 7.2

Opublikowano: 22/10/2026(UTC)Zaktualizowano: 22/10/2026(UTC)Przetłumaczono: 22/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.40%

Percentyl 33 - wyżej niż 33% wszystkich znanych CVE

Streszczenie

Wtyczka HIPAA Forms do WordPressa przed wersją 3.3.2 nie wykonuje sprawdzenia uprawnień podczas obsługi żądania odbudowującego własną niestandardową rolę użytkownika, co pozwala użytkownikowi posiadającemu już tę rolę nadać jej uprawnienia na poziomie administratora i eskalować swoje uprawnienia.

Ocena ryzyka

Użytkownik z ograniczoną rolą może eskalować uprawnienia do poziomu administratora, uzyskując pełną kontrolę nad witryną.

Rekomendacja

Zaktualizuj wtyczkę HIPAA Forms do wersji 3.3.2 lub nowszej. Sprawdź, czy nie ma nieautoryzowanych zmian w rolach użytkowników.

Inne podatności w HIPAA Forms

CVE-2026-2688Średnie
Wtyczka HIPAA FORMS dla WordPressa przed wersją 3.2.0 zawiera zakodowany na stałe bypass autoryzacji poprzez zakodowany parametr używany we wszystkich żądaniach AJAX. Serwer jawnie sprawdza tę wartość, aby całkowicie pominąć weryfikację nonce. Pozwala to nieuwierzytelnionym atakującym uzyskać dostęp do chronionych punktów końcowych AJAX.

Oryginalny opis (angielski, źródło NVD)

The HIPAA Forms WordPress plugin before 3.3.2 does not perform a capability check when handling a request that rebuilds its own custom user role, allowing a user who already holds that role to grant it administrator-level capabilities and escalate their privileges.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS