CVE-2026-11562

ŚrednieCVSS 4.3

Opublikowano: 01/07/2026(UTC)Zaktualizowano: 01/07/2026(UTC)Przetłumaczono: 02/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.16%

Percentyl 6 - wyżej niż 6% wszystkich znanych CVE

Streszczenie

Wtyczka WS Form LITE dla WordPressa przed wersją 1.11.8 nie posiada sprawdzenia uprawnień w jednej z akcji aktualizacji ustawień, co pozwala uwierzytelnionym użytkownikom z dostępem na poziomie subskrybenta i wyższym na modyfikację ustawień wtyczki.

Ocena ryzyka

Ryzyko polega na tym, że atakujący z niskimi uprawnieniami (np. subskrybent) może zmienić konfigurację wtyczki, co może prowadzić do nieautoryzowanego dostępu do danych lub dalszej eskalacji uprawnień w środowisku WordPress.

Rekomendacja

Zaleca się natychmiastową aktualizację wtyczki WS Form LITE do wersji 1.11.8 lub nowszej, która zawiera odpowiednie sprawdzenie uprawnień.

Inne podatności w WS Form LITE

CVE-2026-4703Krytyczne
Wtyczka WS Form LITE dla WordPressa w wersjach do 1.10.80 jest podatna na wstrzykiwanie obiektów PHP poprzez deserializację niezaufanych danych z meta wartości formularza. Nieuwierzytelniony atakujący może wstrzyknąć obiekt PHP, ale wpływ jest ograniczony, chyba że w systemie zainstalowano dodatkową wtyczkę lub motyw z łańcuchem POP.

Oryginalny opis (angielski, źródło NVD)

The WS Form LITE WordPress plugin before 1.11.8 does not have a capability check on one of its settings-update actions, allowing authenticated users with subscriber-level access and above to modify the WS Form LITE WordPress plugin before 1.11.8's settings.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS