CVE-2026-114740
NieznaneStreszczenie
Wtyczka WordPress WPVR przed wersją 9.1.3 nieprawidłowo sprawdza uprawnienia użytkownika podczas tworzenia wycieczki przez kreator konfiguracji. Umożliwia to użytkownikom z rolą Contributor i wyższą tworzenie i publikowanie treści wycieczek oraz ustawianie dowolnych metadanych postów, których normalnie nie mogliby utworzyć ani opublikować.
Ocena ryzyka
Użytkownicy o ograniczonych uprawnieniach mogą publikować treści i ustawiać metadane, co może prowadzić do nieautoryzowanych zmian i potencjalnego wstrzyknięcia złośliwych danych.
Rekomendacja
Zaktualizuj wtyczkę do wersji 9.1.3 lub nowszej. Rozważ ograniczenie uprawnień Contributorów do niezbędnego minimum.
Inne podatności w WPVR WordPress plugin
Zobacz wszystkie- CVE-2026-114742Nieznane
Wtyczka WordPress WPVR przed wersją 9.0.3 nie wykonuje kontroli własności na poziomie obiektu podczas aktualizacji wirtualnych wycieczek. Umożliwia to użytkownikom z dostępem na poziomie Contributor i wyższym modyfikowanie, rekonfigurację i publikowanie wycieczek utworzonych przez innych użytkowników.
- CVE-2026-114741Nieznane
Wtyczka WordPress WPVR przed wersją 9.0.3 nie wykonuje kontroli autoryzacji na poziomie obiektu podczas odczytu i aktualizacji wirtualnych wycieczek. Umożliwia to użytkownikom z dostępem na poziomie Contributor i wyższym odczyt i modyfikację wycieczek utworzonych przez innych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The WPVR WordPress plugin before 9.1.3 does not correctly check user capabilities when creating a tour through its setup wizard, allowing users with the Contributor role and above to create and publish tour content and set arbitrary post metadata they could not otherwise create or publish.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS