CVE-2026-11900

ŚrednieCVSS 4.3

Opublikowano: 03/07/2026(UTC)Zaktualizowano: 07/07/2026(UTC)Przetłumaczono: 08/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 19 - wyżej niż 19% wszystkich znanych CVE

Streszczenie

Wtyczka Ad Inserter – Ad Manager & AdSense Ads dla WordPressa do wersji 2.8.16 włącznie zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) przez atrybut 'data' w shortcode [adinserter]. Funkcja replace_ai_tags() przetwarza wzór {reusable-block-N} i wywołuje get_post_field('post_content', N) bez weryfikacji uprawnień użytkownika, bez ograniczenia typu postu do 'wp_block' i bez sprawdzania statusu postu.

Ocena ryzyka

Uwierzytelnieni atakujący z dostępem na poziomie Współautora lub wyższym mogą odczytać pełną treść dowolnych postów, w tym prywatnych, szkiców, oczekujących, usuniętych i chronionych hasłem, należących do innych użytkowników, poprzez umieszczenie shortcode w swoim poście i podgląd go.

Rekomendacja

Należy natychmiast zaktualizować wtyczkę Ad Inserter do najnowszej dostępnej wersji, która usuwa tę podatność, oraz ograniczyć uprawnienia użytkowników do niezbędnego minimum.

Inne podatności w Ad Inserter – Ad Manager & AdSense Ads

CVE-2026-9280Średnie
Wtyczka Ad Inserter – Ad Manager & AdSense Ads do WordPress do wersji 2.8.15 zawiera podatność na Reflected Cross-Site Scripting przez parametry URL w trybie iframe. Nieuwierzytelnieni atakujący mogą wstrzyknąć dowolny skrypt, jeśli uda im się nakłonić użytkownika do kliknięcia w link, a tryb iframe jest włączony dla co najmniej jednego bloku reklamowego.

Oryginalny opis (angielski, źródło NVD)

The Ad Inserter – Ad Manager & AdSense Ads plugin for WordPress is vulnerable to Insecure Direct Object Reference in versions up to and including 2.8.16 via the 'data' attribute of the [adinserter] shortcode. This is due to the replace_ai_tags() function processing a {reusable-block-N} tag pattern that calls get_post_field('post_content', N) without verifying the requesting user's capability with current_user_can('read_post'), without restricting the post type to 'wp_block', and without checking the post status. This makes it possible for authenticated attackers, with Contributor-level access and above, to read the full content of arbitrary posts including Private, Draft, Pending, Trashed, and password-protected posts owned by other users, by placing the shortcode in a post they own and previewing it.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS