CVE-2026-111625

ŚrednieCVSS 5.0

Opublikowano: 16/10/2026(UTC)Zaktualizowano: 19/10/2026(UTC)Przetłumaczono: 17/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 15 - wyżej niż 15% wszystkich znanych CVE

Streszczenie

10up Distributor przed wersją 2.3.2 zawiera podatność typu brak autoryzacji w funkcji ajax_push(), która pozwala użytkownikom multisite o uprawnieniach Contributor na publikowanie postów w innych witrynach sieci. Atakujący może użyć nonce dt-push z wybranym identyfikatorem połączenia i postStatus, aby tworzyć szkice lub opublikowane posty w witrynach, do których nie ma dostępu.

Ocena ryzyka

Nieautoryzowane tworzenie treści w innych witrynach sieci multisite — możliwość publikowania szkodliwych lub nieprawdziwych informacji. Narusza integralność i zaufanie do treści w całej sieci.

Rekomendacja

Zaktualizować wtyczkę 10up Distributor do wersji 2.3.2 lub nowszej. Ograniczyć uprawnienia Contributorów w sieci multisite oraz monitorować nietypową aktywność publikacji.

Inne podatności w 10up Distributor

CVE-2026-111628Średnie
10up Distributor przed wersją 2.3.2 zawiera podatność typu PHP object injection, która pozwala użytkownikom o uprawnieniach Contributor na tworzenie instancji obiektów PHP poprzez podwójne unserializowanie rozproszonych metadanych postów. Atakujący może zapisać serializowany łańcuch PHP jako meta, który funkcja set_meta() w includes/utils.php deserializuje na docelowej witrynie, przechowując obiekty zdefiniowane przez atakującego, których wpływ zależy od załadowanych klas gadget.

Oryginalny opis (angielski, źródło NVD)

10up Distributor before 2.3.2 contains a missing authorization vulnerability in ajax_push() that allows Contributor-level multisite users to publish posts on other network sites. Attackers can use the dt-push nonce with a chosen connection id and postStatus to create draft or published posts on sites they cannot access.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS