CVE-2026-11871

ŚrednieCVSS 5.3

Opublikowano: 26/09/2026(UTC)Zaktualizowano: 29/09/2026(UTC)Przetłumaczono: 29/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 10 - wyżej niż 10% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress Team Members w wersji przed 9.3 nie wykonuje żadnej kontroli autoryzacji ani widoczności w nieuwierzytelnionej akcji AJAX, która zwraca pełne rekordy członków zespołu po ID. Umożliwia to nieuwierzytelnionym atakującym wyliczanie i ujawnianie danych, w tym adresów e-mail i numerów telefonów, członków zespołu, których administrator nie opublikował publicznie.

Ocena ryzyka

Atakujący może uzyskać dostęp do prywatnych danych kontaktowych członków zespołu, co może prowadzić do naruszenia prywatności i wykorzystania tych informacji do ataków phishingowych.

Rekomendacja

Zaktualizuj wtyczkę Team Members do wersji 9.3 lub nowszej, aby wyeliminować podatność.

Inne podatności w Team Members WordPress plugin

CVE-2025-8440Średnie
Wtyczka Team Members dla WordPressa w wersjach do 5.3.5 włącznie jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez pola imienia i nazwiska. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych.

Oryginalny opis (angielski, źródło NVD)

The Team Members WordPress plugin before 9.3 does not perform any authorization or visibility check in an unauthenticated AJAX action that returns full team member records by ID, allowing unauthenticated attackers to enumerate and disclose details, including email addresses and phone numbers, of team members the administrator has not published publicly.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS