CVE-2026-12738

ŚrednieCVSS 4.3

Opublikowano: 11/07/2026(UTC)Zaktualizowano: 13/07/2026(UTC)Przetłumaczono: 14/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

Wtyczka WP Easy Pay dla WordPressa do wersji 4.5.0 włącznie zawiera lukę w autoryzacji, która pozwala uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym na zmianę statusu dowolnych postów i stron na 'szkic', co skutkuje niepublikowaniem treści.

Ocena ryzyka

Ryzyko polega na możliwości nieautoryzowanego ukrywania treści przez użytkowników o niskich uprawnieniach, co może prowadzić do zakłócenia działania witryny i utraty zaufania odwiedzających.

Rekomendacja

Zaleca się natychmiastową aktualizację wtyczki WP Easy Pay do najnowszej dostępnej wersji, która usuwa tę podatność.

Inne podatności w WP Easy Pay

CVE-2026-12739Średnie
Wtyczka WP Easy Pay – Payment and Donation form Builder for Square dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 4.5.0 włącznie. Powodem jest brak prawidłowej weryfikacji uprawnień użytkownika. Uwierzytelnieni atakujący z dostępem na poziomie Subscriber i wyższym mogą trwale usuwać dowolne wpisy, strony i niestandardowe typy treści (z pominięciem kosza) lub zmieniać status opublikowanych wpisów na szkic.

Oryginalny opis (angielski, źródło NVD)

The WP Easy Pay – Payment and Donation form Builder for Square plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 4.5.0. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with subscriber-level access and above, to set the status of arbitrary posts and pages to 'draft', effectively unpublishing arbitrary site content.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS