CVE-2026-110011
NiskieCVSS 2.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress MB Custom Post Types & Custom Taxonomies w wersji przed 2.12.3 nie sprawdza uprawnień w funkcji eksportu. Umożliwia to użytkownikom z rolą tak niską jak Contributor odczyt konfiguracji typów treści i taksonomii dostępnych tylko dla administratorów oraz tytułów, dat, statusów i części zapisanej treści niepublicznych wpisów i stron innych użytkowników.
Ocena ryzyka
Użytkownicy o niskich uprawnieniach mogą uzyskać dostęp do poufnych informacji konfiguracyjnych i treści, co może prowadzić do wycieku danych i ułatwić dalsze ataki.
Rekomendacja
Zaktualizuj wtyczkę MB Custom Post Types & Custom Taxonomies do wersji 2.12.3 lub nowszej.
Inne podatności w MB Custom Post Types & Custom Taxonomies WordPress plugin
Zobacz wszystkie- CVE-2026-110010Średnie
Wtyczka WordPress MB Custom Post Types & Custom Taxonomies przed wersją 2.12.3 nie wykonuje żadnego sprawdzenia uprawnień ani uwierzytelnienia przed zezwoleniem nieuwierzytelnionemu żądaniu na ponowne uruchomienie starszej migracji danych. Pozwala to każdemu przywrócić definicję niestandardowego typu posta lub taksonomii na stronach zaktualizowanych z wersji przed 2.0 do stanu sprzed aktualizacji.
- CVE-2026-109982Średnie
Wtyczka WordPress MB Custom Post Types & Custom Taxonomies w wersji przed 2.12.2 nie sprawdza uprawnień ani nie weryfikuje nonce w akcjach migracji. Pozwala to każdemu zalogowanemu użytkownikowi, np. subskrybentowi, uruchomić jednokierunkową migrację, która tworzy opublikowane rekordy i trwale usuwa całą konfigurację typów treści i taksonomii wtyczki.
Oryginalny opis (angielski, źródło NVD)
The MB Custom Post Types & Custom Taxonomies WordPress plugin before 2.12.3 does not perform a capability check in its export feature, allowing users with a role as low as Contributor to read the configuration of admin-only custom post types and taxonomies, as well as the titles, dates, statuses and some stored content of other users' non-public posts and pages.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS