CVE-2026-11366
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka MonsterInsights dla WordPressa przed wersją 11.1.0 nieprawidłowo weryfikuje podpis w jednej z nieuwierzytelnionych akcji AJAX. Gdy wtyczka nie jest połączona z Google Analytics, klucz HMAC jest pusty, co pozwala nieuwierzytelnionym atakującym na sfałszowanie podpisu i nadpisanie wartości konfiguracyjnej, zakłócając analitykę serwerową w trybie Manual GA4.
Ocena ryzyka
Nieuwierzytelniony atakujący może zmienić konfigurację wtyczki, co może prowadzić do zakłócenia działania analityki i potencjalnie do dalszych manipulacji.
Rekomendacja
Zaleca się aktualizację wtyczki MonsterInsights do wersji 11.1.0 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
The MonsterInsights WordPress plugin before 11.1.0 does not correctly validate the signature on one of its unauthenticated AJAX actions: when the MonsterInsights WordPress plugin before 11.1.0 is not connected to Google Analytics the HMAC signing key is empty, which lets unauthenticated attackers forge a valid signature and overwrite a MonsterInsights WordPress plugin before 11.1.0 configuration value, disrupting the MonsterInsights WordPress plugin before 11.1.0's server-side analytics in Manual GA4 mode.