CVE-2026-110721
ŚrednieCVSS 5.3Streszczenie
Wtyczka NotificationX dla WordPress w wersjach do 3.3.3 włącznie jest podatna na brak autoryzacji prowadzący do wstrzyknięcia dowolnej treści. Trasa REST /notificationx/v1/popup-submit jest zarejestrowana z permission_callback => '__return_true', a handler PopupNotification::handle_popup_submission() przyjmuje kontrolowane przez atakującego nx_id, ładuje wskazaną kampanię NotificationX i kopiuje jej źródło do nowego wpisu bez weryfikacji, czy kampania jest typu Popup Notification lub Exit Intent Popup.
Ocena ryzyka
Nieuwierzytelniony atakujący może wstrzykiwać sfałszowane wpisy social-proof (nazwa, tytuł, wiadomość, e-mail, motyw) do dowolnej włączonej kampanii NotificationX innej niż popup, np. WP Comments, sprzedaży WooCommerce/EDD/Give, recenzji.
Rekomendacja
Zaktualizuj wtyczkę NotificationX do wersji nowszej niż 3.3.3.
Powiązane podatności
- CVE-2026-109515Krytyczne
Wtyczka MailOptin dla WordPressa (wersje do 1.2.78.6 włącznie) jest podatna na eskalację uprawnień. Endpoint subscribe_to_email_list przyjmuje parametr optin_data[form_custom_field_mappings] bez walidacji, co pozwala nadpisać mapowanie administratora i przekazać dowolne kolumny tabeli wp_users (w tym ID i user_pass) do funkcji wp_insert_user().
- CVE-2026-109219Krytyczne
Wtyczka Mang Board dla WordPressa (wersje do 2.4.4 włącznie) jest podatna na dowolne przesyłanie plików poprzez funkcję mbw_file_upload. Brak walidacji rozszerzenia pliku w parametrze image_path pozwala nieuwierzytelnionym atakującym przesłać pliki wykonywalne, co umożliwia zdalne wykonanie kodu.
- CVE-2026-104798Krytyczne
Wtyczka My Calendar – Accessible Event Manager dla WordPressa (wersje do 3.8.7 włącznie) jest podatna na eskalację uprawnień. Parametr mcs jest odzwierciedlany bez sanityzacji, co pozwala nieuwierzytelnionemu atakującemu wstrzyknąć zagnieżdżony shortcode [my_calendar above=...], a następnie wywołać dowolne funkcje PHP poprzez call_user_func(), w tym edit_user(), co prowadzi do przejęcia konta administratora.
- CVE-2026-111444Krytyczne
Wheels do wersji 4.1.2 pozwala na wstrzyknięcie SQL na MySQL/MariaDB z włączonym escapowaniem backslashy (brak NO_BACKSLASH_ESCAPES), gdy aplikacja przekazuje dane żądania do ścieżek inline-literal. Dotyczy to zapytań z parameterize=false, list IN oraz miejsc w where, które parser nie binduje, takich jak granice BETWEEN, argumenty funkcji i literały LIKE ESCAPE.
- CVE-2026-111329Krytyczne
JuggleIM im-server do wersji 1.8.16 zawiera domyślne poświadczenia administratora admin/123456, które pozwalają nieuwierzytelnionym zdalnym atakującym na dostęp do konsoli administracyjnej na porcie 8090. Atakujący mogą zalogować się jako administrator, nawet po usunięciu konta, ponieważ CheckLogin odtwarza je, aby kontrolować aplikacje dzierżawcy i sekrety aplikacji.
- CVE-2026-111322Krytyczne
Archon w wersjach od 0.2.13 do 0.11.1 zawiera lukę braku uwierzytelniania, która pozwala nieuwierzytelnionym atakującym na dostęp do API kontrolnego /api/*, domyślnie nasłuchującego na 0.0.0.0. Atakujący z dostępem sieciowym mogą wysyłać wiadomości do agenta AI, który działa z bypassPermissions, aby wykonać polecenia na hoście jako użytkownik Archon.
- CVE-2026-111283Krytyczne
BMC Helix Network Management on-prem przed wersją 26.3.01 zawiera lukę obejścia uwierzytelniania, która pozwala nieuwierzytelnionym atakującym zalogować się jako lokalny administrator z dowolnym hasłem, gdy skonfigurowano SAML SSO. Atakujący mogą uzyskać sesję SuperAdmin, modyfikować poświadczenia urządzeń, uruchamiać polecenia i zmieniać zapisy audytu.
- CVE-2026-111281Krytyczne
Kamery IP Jooan JA-A12 z firmware 009_20171107 i 05.02.31.105 zawierają lukę zdalnego wykonania kodu, która pozwala nieuwierzytelnionym atakującym uruchomić polecenia root poprzez hardkodowane poświadczenia. Atakujący wysyła singleCMD=SetDiagMode do /goform/SingleHandlebyCommand z wybranym authserverip i authcode, powodując wykonanie poleceń przez demon jooandiag poprzez /bin/sh, co daje pełną kontrolę nad urządzeniem.
- CVE-2026-105039Krytyczne
Obrazy Docker EnergizeLab station-middleware (NestJS) w wersjach od 1.6.5 do 1.8.2 nie sprawdzają ról użytkowników w API administracyjnych. Każdy uwierzytelniony użytkownik o niskich uprawnieniach może pobrać klucze dostawców AI oraz zmienić konfigurację i zawartość magazynu obiektów.
- CVE-2026-105038Krytyczne
Usługi EnergizeLab Eilik i EilikO FastAPI do wnioskowania i profilowania AI udostępniają funkcje administracyjne modeli AI bez uwierzytelniania. Nieuwierzytelniony zdalny atakujący może zmienić konfigurację modelu AI i przełączyć używany model w czasie rzeczywistym.
Oryginalny opis (angielski, źródło NVD)
The NotificationX plugin for WordPress is vulnerable to Missing Authorization leading to arbitrary content injection in versions up to, and including, 3.3.3 The /notificationx/v1/popup-submit REST route is registered with permission_callback => '__return_true', and the handler at PopupNotification::handle_popup_submission() accepts an attacker-controlled nx_id, loads whichever NotificationX campaign that id points to, and copies that campaign's own source into the new entry without verifying that the campaign is a Popup Notification or Exit Intent Popup (the two sources this form is intended to serve). This makes it possible for unauthenticated attackers to inject forged social-proof entries (name, title, message, email, theme) into any enabled non-popup NotificationX campaign — WP Comments, WooCommerce/EDD/Give sales, reviews, etc.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS