CVE-2026-114704
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
Wtyczka Relevanssi dla WordPressa (wersje do 4.28.4) zawiera podatność polegającą na deserializacji niezaufanych danych, umożliwiającą wstrzyknięcie obiektu. Problem dotyczy wersji od n/a do 4.28.4.
Ocena ryzyka
Atakujący może wykorzystać wstrzyknięcie obiektu do wykonania nieautoryzowanych działań w kontekście aplikacji WordPress. Może to prowadzić do przejęcia kontroli nad witryną lub wycieku danych.
Rekomendacja
Zaktualizuj wtyczkę Relevanssi do wersji nowszej niż 4.28.4. Do czasu aktualizacji rozważ wyłączenie lub ograniczenie dostępu do wtyczki.
Inne podatności w Relevanssi
Zobacz wszystkie- CVE-2026-116522Wysokie
Wtyczka Relevanssi dla WordPressa jest podatna na przechowywany XSS poprzez parametr 'comment' w wersjach do 4.28.5 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wymaga to włączonego indeksowania i podświetlania komentarzy oraz wejścia przez link z wyników wyszukiwania z parametrem podświetlenia.
- CVE-2026-15941Średnie
Wtyczka Relevanssi udostępnia stronę wyszukiwania w panelu administracyjnym, która pozwala użytkownikom z uprawnieniami `edit_posts` na uruchamianie zapytań. Obsługa AJAX parsuje kontrolowany przez użytkownika parametr `args` i przekazuje dane taksonomii do konstruktora ograniczeń, gdzie wartość nie jest parametryzowana przed wstawieniem do zapytania SQL. Umożliwia to uwierzytelnionemu użytkownikowi na poziomie współautora wykonanie ślepej iniekcji SQL opartej na czasie.
Oryginalny opis (angielski, źródło NVD)
Deserialization of Untrusted Data vulnerability in Christoph Vielgrader Relevanssi relevanssi allows Object Injection.This issue affects Relevanssi : from n/a through 4.28.4.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS