CVE-2026-114741
NieznaneStreszczenie
Wtyczka WordPress WPVR przed wersją 9.0.3 nie wykonuje kontroli autoryzacji na poziomie obiektu podczas odczytu i aktualizacji wirtualnych wycieczek. Umożliwia to użytkownikom z dostępem na poziomie Contributor i wyższym odczyt i modyfikację wycieczek utworzonych przez innych użytkowników.
Ocena ryzyka
Użytkownicy o ograniczonych uprawnieniach mogą odczytywać i modyfikować treści innych użytkowników, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaktualizuj wtyczkę do wersji 9.0.3 lub nowszej. Rozważ ograniczenie uprawnień Contributorów do niezbędnego minimum.
Inne podatności w WPVR WordPress plugin
Zobacz wszystkie- CVE-2026-114742Nieznane
Wtyczka WordPress WPVR przed wersją 9.0.3 nie wykonuje kontroli własności na poziomie obiektu podczas aktualizacji wirtualnych wycieczek. Umożliwia to użytkownikom z dostępem na poziomie Contributor i wyższym modyfikowanie, rekonfigurację i publikowanie wycieczek utworzonych przez innych użytkowników.
- CVE-2026-114740Nieznane
Wtyczka WordPress WPVR przed wersją 9.1.3 nieprawidłowo sprawdza uprawnienia użytkownika podczas tworzenia wycieczki przez kreator konfiguracji. Umożliwia to użytkownikom z rolą Contributor i wyższą tworzenie i publikowanie treści wycieczek oraz ustawianie dowolnych metadanych postów, których normalnie nie mogliby utworzyć ani opublikować.
Oryginalny opis (angielski, źródło NVD)
The WPVR WordPress plugin before 9.0.3 does not perform object-level authorization checks when reading and updating virtual tours, allowing users with contributor-level access and above to read and modify tours created by other users.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS