CVE-2026-110507
NiskieCVSS 2.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Page Builder by SiteOrigin przed wersją 2.38.0 nie ogranicza argumentów zapytania, które użytkownicy mogą dodać do widżetu Post Loop, ani nie ogranicza pętli do postów, do których mają prawo odczytu. Użytkownicy z rolą contributor i wyższą mogą odczytać treść szkiców, postów oczekujących, zaplanowanych i prywatnych innych użytkowników.
Ocena ryzyka
Użytkownicy o niskich uprawnieniach mogą uzyskać dostęp do niezakończonych lub prywatnych treści, co stanowi naruszenie poufności danych.
Rekomendacja
Zaktualizuj wtyczkę Page Builder by SiteOrigin do wersji 2.38.0 lub nowszej.
Inne podatności w Page Builder by SiteOrigin
Zobacz wszystkie- CVE-2026-110506Średnie
Wtyczka WordPress Page Builder by SiteOrigin przed wersją 2.38.0 nie sanityzuje ani nie escapuje właściwości widżetu przed zapisaniem i wypisaniem jej w interfejsie page buildera. Użytkownicy z rolą contributor i wyższą mogą przeprowadzać ataki Stored Cross-Site Scripting wymierzone w użytkowników o wyższych uprawnieniach otwierających dotknięty post w edytorze.
- CVE-2026-97256Wysokie
Podatność na wstrzyknięcie obiektów PHP (Object Injection) w Page Builder by SiteOrigin, w wersjach do 2.36.0 włącznie, wymagająca uprawnień edytora.
- CVE-2026-13295Średnie
Wtyczka Page Builder by SiteOrigin dla WordPressa do wersji 2.34.3 zawiera podatność na trwałe ataki XSS przez parametr panels_data. Brak odpowiedniej sanitizacji wejścia i eskejpowania wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie Współautora i wyższym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.
Oryginalny opis (angielski, źródło NVD)
The Page Builder by SiteOrigin WordPress plugin before 2.38.0 does not restrict the query arguments users can add to its Post Loop widget or limit the loop to posts they are allowed to read, which could allow users with the contributor role and above to read the content of other users' draft, pending, scheduled and private posts and pages.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS