CVE-2026-12739

ŚrednieCVSS 4.3

Opublikowano: 18/09/2026(UTC)Zaktualizowano: 19/09/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.34%

Percentyl 27 - wyżej niż 27% wszystkich znanych CVE

Streszczenie

Wtyczka WP Easy Pay – Payment and Donation form Builder for Square dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 4.5.0 włącznie. Powodem jest brak prawidłowej weryfikacji uprawnień użytkownika. Uwierzytelnieni atakujący z dostępem na poziomie Subscriber i wyższym mogą trwale usuwać dowolne wpisy, strony i niestandardowe typy treści (z pominięciem kosza) lub zmieniać status opublikowanych wpisów na szkic.

Ocena ryzyka

Atakujący może usunąć ważne treści lub zakłócić działanie witryny, co może prowadzić do utraty danych i negatywnego wpływu na dostępność usług.

Rekomendacja

Zaktualizuj wtyczkę WP Easy Pay do najnowszej wersji z poprawką. Ogranicz liczbę kont o niskich uprawnieniach i regularnie audytuj uprawnienia użytkowników.

Inne podatności w WP Easy Pay

CVE-2026-12738Średnie
Wtyczka WP Easy Pay dla WordPressa do wersji 4.5.0 włącznie zawiera lukę w autoryzacji, która pozwala uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym na zmianę statusu dowolnych postów i stron na 'szkic', co skutkuje niepublikowaniem treści.

Oryginalny opis (angielski, źródło NVD)

The WP Easy Pay – Payment and Donation form Builder for Square plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 4.5.0. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with subscriber-level access and above, to permanently delete arbitrary posts, pages, and custom post types (bypassing the trash via force deletion) or change any published post to draft status.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS