CVE-2026-112230

NiskieCVSS 3.7

Opublikowano: 23/10/2026(UTC)Zaktualizowano: 23/10/2026(UTC)Przetłumaczono: 23/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.14%

Percentyl 3 - wyżej niż 3% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress Popup Builder przed 4.4.6 nie wykonuje kontroli autoryzacji przed przeniesieniem treści popupów do kosza w rutynie konserwacyjnej uruchamianej przy nieuwierzytelnionych żądaniach. Pozwala to nieuwierzytelnionym atakującym przenieść dotknięte popupy do kosza i nadpisać ich przechowywane dane podglądu.

Ocena ryzyka

Nieuwierzytelniony atakujący może uszkodzić lub zepsuć popupy w witrynie, powodując niedostępność treści i możliwe błędy wyświetlania. Nie prowadzi to bezpośrednio do wykonania kodu.

Rekomendacja

Zaktualizuj wtyczkę Popup Builder do wersji 4.4.6 lub nowszej. Sprawdź kosz i przywróć ewentualnie usunięte popupy.

Inne podatności w Popup Builder WordPress plugin

CVE-2026-89270Krytyczne
Wtyczka Popup Builder dla WordPressa w wersjach do 4.4.5 włącznie nie weryfikuje uprawnień użytkownika do wykonywania akcji. Nieuwierzytelniony atakujący może jednym żądaniem GET przenieść do kosza wszystkie opublikowane popupy w serwisie, a dodatkowa wada w SGPopup::find() powoduje, że atak dotyczy wszystkich popupów jednocześnie.

Oryginalny opis (angielski, źródło NVD)

The Popup Builder WordPress plugin before 4.4.6 does not perform authorization checks before trashing popup content in a maintenance routine that runs on unauthenticated requests, allowing unauthenticated attackers to move affected popups into the Trash and overwrite their stored preview data.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS