CVE-2026-119701
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 48 - wyżej niż 48% wszystkich znanych CVE
Streszczenie
WPGraphQL w wersjach przed 2.24.1 zawiera brak ograniczania szybkości żądań, który pozwala nieuwierzytelnionym atakującym zalewać skrzynki e-mailami resetującymi hasło poprzez aliasowanie mutacji sendPasswordResetEmail. Atakujący może wysłać jedno żądanie HTTP z wieloma aliasami, omijając batch_limit, wyczerpując limity dostawcy poczty i wielokrotnie rotując klucze resetowania, blokując legalne odzyskiwanie hasła.
Ocena ryzyka
Atakujący może wyczerpać limity poczty i zablokować legalne odzyskiwanie haseł, powodując niedostępność funkcji resetowania hasła i zaśmiecanie skrzynek.
Rekomendacja
Zaktualizuj WPGraphQL do wersji 2.24.1 lub nowszej i wdróż ograniczanie szybkości żądań dla mutacji resetowania hasła.
Inne podatności w WPGraphQL
Zobacz wszystkie- CVE-2026-119702Średnie
WPGraphQL w wersjach przed 2.24.1 zawiera brak autoryzacji w mutacji createComment, który pozwala nieuwierzytelnionym atakującym komentować niepubliczne wpisy poprzez obejście sprawdzania statusu wpisu. Atakujący może dołączać komentarze do szkiców, wpisów prywatnych, usuniętych lub chronionych hasłem, ujawniając ukryte tytuły przez powiadomienia moderatorów, wyliczając identyfikatory wpisów oraz ustawiając daty wsteczne lub oznaczając komentarze jako pingbacki.
- CVE-2026-119700Średnie
WPGraphQL w wersjach przed 2.24.2 zawiera podatność na ujawnienie informacji, która pozwala nieuwierzytelnionym atakującym ustalić istnienie obiektów na podstawie różnych odpowiedzi błędów. Atakujący może iterować identyfikatory w mutacjach deleteMediaItem, updateMediaItem, deleteComment i updateComment, aby odkryć ukryte szkice, wpisy prywatne, usunięte, niestandardowe typy wpisów i niezatwierdzone komentarze.
- CVE-2026-109703Średnie
Wtyczka WPGraphQL dla WordPressa ma brak autoryzacji, co pozwala na odzyskiwanie osadzonych wrażliwych danych. Podatność dotyczy wszystkich wersji od n/a do 2.23.1.
- CVE-2026-88974Średnie
Wtyczka WPGraphQL dla WordPressa przed wersją 2.22.2 nie egzekwuje uprawnień na poziomie obiektu w mutacji updatePost. Uwierzytelniony użytkownik z rolą Contributor może publikować własne szkice bez zatwierdzenia redakcyjnego lub modyfikować własne już opublikowane wpisy, mimo braku uprawnienia edit_published_posts.
- CVE-2026-54768Średnie
Wtyczka WPGraphQL dla WordPress w wersjach od 2.0.0 do 2.15.1 zawiera podatność. Przestarzałe pole user w SendPasswordResetEmailPayload pozwala nieuwierzytelnionemu atakującemu odróżnić istniejące konta autorskie poprzez mutację sendPasswordResetEmail i uzyskać publiczne pola profilu.
- CVE-2026-40762Wysokie
W WPGraphQL w wersjach poniżej 2.11.1 występuje podatność na nieautoryzowany atak SQL Injection.
- CVE-2025-68604Średnie
Podatność Cross-Site Request Forgery (CSRF) w wtyczce WPGraphQL w wersjach od n/a do 2.5.3. Atakujący może wymusić na zalogowanym użytkowniku wykonanie niepożądanych akcji.
Oryginalny opis (angielski, źródło NVD)
WPGraphQL before 2.24.1 contains a missing rate limiting vulnerability that allows unauthenticated attackers to flood password reset emails by aliasing the sendPasswordResetEmail mutation. Attackers can send one HTTP request with many aliases, bypassing batch_limit, to exhaust mail provider quota and repeatedly rotate reset keys, blocking legitimate password recovery.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS