CVE-2026-111628

ŚrednieCVSS 5.0

Opublikowano: 16/10/2026(UTC)Zaktualizowano: 23/10/2026(UTC)Przetłumaczono: 17/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 18 - wyżej niż 18% wszystkich znanych CVE

Streszczenie

10up Distributor przed wersją 2.3.2 zawiera podatność typu PHP object injection, która pozwala użytkownikom o uprawnieniach Contributor na tworzenie instancji obiektów PHP poprzez podwójne unserializowanie rozproszonych metadanych postów. Atakujący może zapisać serializowany łańcuch PHP jako meta, który funkcja set_meta() w includes/utils.php deserializuje na docelowej witrynie, przechowując obiekty zdefiniowane przez atakującego, których wpływ zależy od załadowanych klas gadget.

Ocena ryzyka

Możliwość wykonania kodu lub innych działań w zależności od dostępnych klas gadget — potencjalne przejęcie kontroli nad witryną WordPress. Wpływ zależy od załadowanych bibliotek, ale ryzyko jest wysokie w środowiskach z podatnymi gadgetami.

Rekomendacja

Zaktualizować wtyczkę 10up Distributor do wersji 2.3.2 lub nowszej. Ograniczyć uprawnienia Contributorów, jeśli nie są niezbędne, oraz rozważyć audyt kodu pod kątem niebezpiecznych deserializacji.

Inne podatności w 10up Distributor

CVE-2026-111625Średnie
10up Distributor przed wersją 2.3.2 zawiera podatność typu brak autoryzacji w funkcji ajax_push(), która pozwala użytkownikom multisite o uprawnieniach Contributor na publikowanie postów w innych witrynach sieci. Atakujący może użyć nonce dt-push z wybranym identyfikatorem połączenia i postStatus, aby tworzyć szkice lub opublikowane posty w witrynach, do których nie ma dostępu.

Oryginalny opis (angielski, źródło NVD)

10up Distributor before 2.3.2 contains a PHP object injection vulnerability that allows Contributor-level users to instantiate PHP objects by double unserializing distributed post meta. Attackers can store a serialized PHP string as meta, which set_meta() in includes/utils.php unserializes on the destination site, storing attacker-defined objects whose impact depends on loaded gadget classes.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS