CVE-2026-11351
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka ShinyStat Analytics dla WordPressa przed wersją 1.0.17 nie wykonuje żadnej kontroli autoryzacji na jednym ze swoich endpointów REST API. Pozwala to nieuwierzytelnionym użytkownikom na pobieranie informacji o nieopublikowanych produktach WooCommerce (np. szkicach, oczekujących lub prywatnych).
Ocena ryzyka
Atakujący może uzyskać dostęp do informacji o nieopublikowanych produktach, co może prowadzić do wycieku poufnych danych biznesowych, takich jak ceny czy specyfikacje przed premierą.
Rekomendacja
Należy zaktualizować wtyczkę ShinyStat Analytics do wersji 1.0.17 lub nowszej.
Inne podatności w WordPress plugin
Zobacz wszystkie- CVE-2026-14300Wysokie
Wtyczka miniOrange Social Login and Register dla WordPressa przed wersją 7.8.0 nie wiąże jednorazowego kodu używanego w opcjonalnej weryfikacji e-mail z kontem, dla którego został wygenerowany. Pozwala to nieuwierzytelnionemu atakującemu uzyskać ważną sesję dla dowolnego konta, w tym administratora, poprzez żądanie kodu na kontrolowany przez siebie adres e-mail i użycie go wobec adresu ofiary.
- CVE-2026-14234Wysokie
Wtyczka WOLF dla WordPressa przed wersją 1.1.0 nie sprawdza nonce ani uprawnień w jednym ze swoich zapytań AJAX. Pozwala to nieuwierzytelnionemu atakującemu nakłonić zalogowanego administratora do zapisania dowolnej treści, w tym złośliwego skryptu, w poście poprzez żądanie cross-site, co prowadzi do trwałego Cross-Site Scripting (XSS).
- CVE-2026-13690Wysokie
Wtyczka UsersWP dla WordPressa przed wersją 1.2.67 nie weryfikuje wybranego dostawcy uwierzytelniania w obsłudze logowania dwuskładnikowego. Pozwala to atakującemu, który zna dane logowania użytkownika, ominąć drugi czynnik uwierzytelniania i zalogować się jako ten użytkownik.
- CVE-2026-13605Średnie
Wtyczka PhotoSwipe dla WordPressa do wersji 4.1.1.1 używa atrybutu title w linkach dostarczonych przez autora jako podpis lightboxa, zapisywany w DOM strony bez odpowiedniego escapowania. Uwierzytelniony użytkownik z uprawnieniami Autora może przechowywać ładunek JavaScript, który wykona się w przeglądarce każdego odwiedzającego, który kliknie link, w tym administratora.
Oryginalny opis (angielski, źródło NVD)
The ShinyStat Analytics WordPress plugin before 1.0.17 does not perform any authorization check on one of its REST API endpoints, allowing unauthenticated users to retrieve information about non-published (e.g. draft, pending or private) WooCommerce products.