CVE-2026-12418
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Wtyczka User Frontend dla WordPressa w wersjach do 4.3.7 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) przez parametr 'wpuf_files_data'. Brak walidacji klucza kontrolowanego przez użytkownika umożliwia nieuwierzytelnionym atakującym nadpisanie tytułu, treści i streszczenia dowolnego wpisu na stronie, w tym wpisów administratorów.
Ocena ryzyka
Atakujący może zmodyfikować dowolne treści na stronie, co prowadzi do defacementu, wstrzyknięcia złośliwych treści lub manipulacji danymi. Podatność jest łatwa do wykorzystania, ponieważ wymaga jedynie dostępu do formularza zgłoszeniowego WPUF, który jest dostępny dla użytkowników bez roli w WordPressie.
Rekomendacja
Niezwłocznie zaktualizuj wtyczkę User Frontend do wersji 4.3.8 lub nowszej. Jeśli aktualizacja nie jest dostępna, tymczasowo wyłącz formularze zgłoszeniowe WPUF lub ogranicz dostęp do nich tylko dla zaufanych użytkowników.
Inne podatności w User Frontend
Zobacz wszystkie- CVE-2026-5459Średnie
Wtyczka User Frontend dla WordPressa w wersjach do 4.3.1 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w funkcji payment_page(). Brak walidacji parametru 'user_id' umożliwia nieuwierzytelnionemu atakującemu aktywowanie darmowego pakietu subskrypcyjnego dla dowolnego użytkownika, nadpisując jego istniejącą płatną subskrypcję i powodując utratę płatnych funkcji.
- CVE-2026-14558Wysokie
Wtyczka User Frontend dla WordPressa przed wersją 4.3.10 nieprawidłowo waliduje definicje typów pól i deserializuje kontrolowane przez użytkownika metadane postów podczas renderowania przesłanych wpisów. Użytkownicy z dostępem na poziomie edytora i wyższym mogą wstrzykiwać dowolne obiekty PHP, co może prowadzić do zdalnego wykonania kodu, gdy na stronie istnieje odpowiedni łańcuch POP.
- CVE-2026-12406Średnie
Wtyczka User Frontend dla WordPress w wersjach do 4.3.7 zawiera podatność na ominięcie autoryzacji. Niezautoryzowani atakujący mogą usuwać dowolne załączniki multimedialne, których autor ma ID 0, wykorzystując akcję AJAX wpuf_file_del.
Oryginalny opis (angielski, źródło NVD)
The User Frontend: AI Powered Frontend Posting, User Directory, Profile, Membership & User Registration plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 4.3.7 via the 'wpuf_files_data' parameter due to missing validation on a user controlled key. This makes it possible for unauthenticated attackers to overwrite the post_title, post_content, and post_excerpt of any arbitrary post on the site, including posts authored by administrators. Exploitation requires access to any WPUF post submission form; this is achievable by users with no WordPress role, as the wpuf_submit_post AJAX action is gated only by a nonce with no capability check for the downstream post-edit operation.