CVE-2026-110010
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress MB Custom Post Types & Custom Taxonomies przed wersją 2.12.3 nie wykonuje żadnego sprawdzenia uprawnień ani uwierzytelnienia przed zezwoleniem nieuwierzytelnionemu żądaniu na ponowne uruchomienie starszej migracji danych. Pozwala to każdemu przywrócić definicję niestandardowego typu posta lub taksonomii na stronach zaktualizowanych z wersji przed 2.0 do stanu sprzed aktualizacji.
Ocena ryzyka
Odrzuca to zmiany konfiguracji wprowadzone przez administratora po aktualizacji, a jeśli zmiany te ograniczały widoczność definicji, po cichu ponownie udostępnia definicję i jej treść anonimowym odwiedzającym.
Rekomendacja
Zaktualizuj wtyczkę MB Custom Post Types & Custom Taxonomies do wersji 2.12.3 lub nowszej. Sprawdź, czy konfiguracja typów postów i taksonomii nie została cofnięta.
Inne podatności w MB Custom Post Types & Custom Taxonomies WordPress plugin
Zobacz wszystkie- CVE-2026-110011Niskie
Wtyczka WordPress MB Custom Post Types & Custom Taxonomies w wersji przed 2.12.3 nie sprawdza uprawnień w funkcji eksportu. Umożliwia to użytkownikom z rolą tak niską jak Contributor odczyt konfiguracji typów treści i taksonomii dostępnych tylko dla administratorów oraz tytułów, dat, statusów i części zapisanej treści niepublicznych wpisów i stron innych użytkowników.
- CVE-2026-109982Średnie
Wtyczka WordPress MB Custom Post Types & Custom Taxonomies w wersji przed 2.12.2 nie sprawdza uprawnień ani nie weryfikuje nonce w akcjach migracji. Pozwala to każdemu zalogowanemu użytkownikowi, np. subskrybentowi, uruchomić jednokierunkową migrację, która tworzy opublikowane rekordy i trwale usuwa całą konfigurację typów treści i taksonomii wtyczki.
Oryginalny opis (angielski, źródło NVD)
The MB Custom Post Types & Custom Taxonomies WordPress plugin before 2.12.3 does not perform any capability or authentication check before allowing an unauthenticated request to re-run a legacy data migration, letting anyone revert a custom post type or taxonomy definition on sites upgraded from a pre-2.0 release back to its pre-upgrade state. This discards configuration changes an administrator made after upgrading and, where those changes had restricted a definition's visibility, silently re-exposes the definition and its content to anonymous visitors.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS