CVE-2026-111828
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka Classified Listing do WordPressa zawiera podatność nieprawidłowej walidacji określonej ilości w danych wejściowych, która pozwala na dostęp do funkcjonalności nieodpowiednio ograniczonej przez listy kontroli dostępu (ACL). Problem dotyczy wersji Classified Listing od n/a do 6.1.5.
Ocena ryzyka
Atakujący może uzyskać dostęp do funkcji lub danych, do których nie powinien mieć uprawnień, co może prowadzić do naruszenia poufności lub integralności. Ryzyko dotyczy witryn WordPress z zainstalowaną podatną wersją wtyczki.
Rekomendacja
Zaktualizuj wtyczkę Classified Listing do najnowszej wersji, jeśli jest dostępna, lub rozważ jej usunięcie, jeśli nie jest używana. Sprawdź uprawnienia użytkowników i role w witrynie.
Inne podatności w Classified Listing
Zobacz wszystkie- CVE-2026-94665Średnie
Wtyczka Classified Listing (classified-listing) od Mamunur Rashid zawiera podatność typu Stored Cross-site Scripting (XSS), wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania strony. Problem dotyczy wersji od n/a do 6.1.2 włącznie.
- CVE-2026-96351Wysokie
Podatność XSS w wtyczce Classified Listing w wersjach do 6.1.3, która może być wykorzystana bez uwierzytelnienia.
- CVE-2026-84217Średnie
Wtyczka Classified Listing (classified-listing) autorstwa Mamunur Rashid do wersji 6.1.3 ma brak autoryzacji, co pozwala na dostęp do funkcji nieprawidłowo ograniczonych przez listy kontroli dostępu (ACL).
- CVE-2026-16276Niskie
Wtyczka WordPress 'Classified Listing' przed wersją 5.4.4 nie przeprowadza kontroli uprawnień w akcji AJAX, która zwraca zagregowane sumy przychodów sklepu, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na odczytywanie dziennych danych przychodów normalnie zarezerwowanych dla administratorów i menedżerów raportów.
- CVE-2026-16274Niskie
Wtyczka WordPress 'Classified Listing' przed wersją 5.4.4 nie przeprowadza kontroli uprawnień ani własności w akcji AJAX, która zwraca treść posta, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na odczytywanie treści dowolnego posta, strony lub niestandardowego typu posta na stronie — w tym szkiców, oczekujących i prywatnych postów należących do innych użytkowników — niezależnie od własności.
- CVE-2026-14183Średnie
Podatność we wtyczce Classified Listing do WordPressa (przed wersją 5.3.9). Umożliwia uwierzytelnionym użytkownikom z dostępem na poziomie subskrybenta odczytanie szczegółów potwierdzenia płatności zamówień innych użytkowników, ponieważ wtyczka nie weryfikuje, czy zamówienie należy do żądającego użytkownika.
- CVE-2026-57355Średnie
Wtyczka Classified Listing dla WordPressa w wersji 5.4.2 i starszych zawiera podatność polegającą na złamaniu kontroli dostępu przez subskrybenta. Umożliwia to użytkownikom z rolą subskrybenta wykonywanie nieautoryzowanych operacji.
- CVE-2026-57344Wysokie
Wtyczka Classified Listing dla WordPressa w wersji 5.4.2 i starszych zawiera podatność na nieuwierzytelniony atak typu Cross Site Scripting (XSS). Oznacza to, że atakujący może wstrzyknąć złośliwy kod JavaScript bez konieczności logowania.
- CVE-2026-42658Wysokie
W wersjach Classified Listing do 5.3.8 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.
- CVE-2026-42651Średnie
Wersje Classified Listing do 5.3.9 mają lukę w kontroli dostępu, która może umożliwić nieautoryzowanym subskrybentom dostęp do zasobów.
Oryginalny opis (angielski, źródło NVD)
Improper Validation of Specified Quantity in Input vulnerability in Mamunur Rashid Classified Listing classified-listing allows Accessing Functionality Not Properly Constrained by ACLs.This issue affects Classified Listing: from n/a through 6.1.5.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS