CVE-2026-112861
ŚrednieCVSS 6.3Streszczenie
Wtyczka Participants Database (participants-database) dla WordPress od xnau webdesign do wersji 2.7.8.5 zawiera lukę obejścia autoryzacji poprzez klucz kontrolowany przez użytkownika. Pozwala to na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Luka dotyczy wersji od n/a do 2.7.8.5.
Ocena ryzyka
Atakujący może obejść mechanizmy autoryzacji i uzyskać dostęp do danych lub funkcji, do których nie powinien mieć uprawnień. Może to prowadzić do ujawnienia lub modyfikacji danych uczestników.
Rekomendacja
Zaktualizuj wtyczkę Participants Database do najnowszej wersji (powyżej 2.7.8.5). Sprawdź konfigurację uprawnień i kluczy dostępu.
Inne podatności w Participants Database
Zobacz wszystkie- CVE-2026-27423Średnie
Wtyczka Participants Database dla WordPressa w wersji 2.7.8.4 i starszych zawiera podatność na złamaną kontrolę dostępu, którą może wykorzystać użytkownik z rolą Subskrybenta.
- CVE-2026-112862Krytyczne
Wtyczka Participants Database (participants-database) dla WordPressa firmy xnau webdesign jest podatna na deserializację niezaufanych danych, co umożliwia wstrzyknięcie obiektu (Object Injection). Podatność dotyczy wersji do 2.7.8.5 włącznie.
- CVE-2026-112860Krytyczne
Wtyczka Participants Database (participants-database) dla WordPressa firmy xnau webdesign zawiera podatność SQL Injection (niewłaściwa neutralizacja elementów specjalnych w poleceniu SQL), umożliwiającą ślepą iniekcję SQL. Podatność dotyczy wersji do 2.7.8.5 włącznie.
- CVE-2026-13596Krytyczne
Wtyczka Participants Database dla WordPressa przed wersją 2.7.8.4 nieprawidłowo sanityzuje i koduje parametr dostarczony przez użytkownika przed użyciem go w zapytaniu SQL. Umożliwia to nieuwierzytelnionym atakującym przeprowadzenie ataków SQL injection.
- CVE-2026-59555Krytyczne
Wtyczka Participants Database w wersjach do 2.7.8.3 umożliwia nieuwierzytelnione usuwanie dowolnych plików.
- CVE-2026-59525Krytyczne
Wtyczka Participants Database w wersjach do 2.7.8.3 zawiera podatność na wstrzykiwanie SQL bez uwierzytelniania. Atakujący może wysłać specjalnie spreparowane żądanie, aby wykonać dowolne zapytania SQL.
- CVE-2026-28189Wysokie
Wtyczka Participants Database w wersjach do 2.7.8.4 umożliwia nieuwierzytelnionym użytkownikom usuwanie dowolnych plików z serwera.
- CVE-2026-11354Średnie
Wtyczka Participants Database dla WordPress do wersji 2.7.8.3 jest podatna na ujawnienie wrażliwych informacji przez parametr 'id'. Nieuwierzytelniony atakujący może nadpisać dowolny rekord uczestnika i przechwycić link dostępu do danych osobowych, uzyskując pełny odczyt i edycję.
- CVE-2025-58008Średnie
Wtyczka Participants Database od xnau webdesign ma podatność na trwały XSS (Stored XSS) z powodu nieprawidłowego neutralizowania danych wejściowych podczas generowania strony. Dotyczy wersji do 2.7.6.3 włącznie.
Oryginalny opis (angielski, źródło NVD)
Authorization Bypass Through User-Controlled Key vulnerability in xnau webdesign Participants Database participants-database allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects Participants Database: from n/a through 2.7.8.5.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS