CVE-2026-12907
NiskieCVSS 2.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wtyczka RTMKit dla WordPressa przed wersją 2.0.9 nie przeprowadza prawidłowej kontroli uprawnień w jednej z akcji AJAX dotyczących kreatora szablonów. Użytkownicy z rolą Autora lub wyższą mogą tworzyć i aktywować szablon obejmujący całą witrynę, nadpisując nagłówek, stopkę lub inne globalne obszary widoczne dla wszystkich odwiedzających, co normalnie jest zarezerwowane dla administratorów.
Ocena ryzyka
Ryzyko polega na tym, że nieautoryzowani użytkownicy (Autorzy) mogą modyfikować globalny wygląd strony, co może prowadzić do defacementu, wstrzykiwania złośliwych treści lub naruszenia integralności wizualnej witryny, wpływając na wszystkich odwiedzających.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę RTMKit do wersji 2.0.9 lub nowszej. Jeśli aktualizacja nie jest możliwa, tymczasowo wyłącz wtyczkę lub ogranicz dostęp do jej funkcji poprzez reguły kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
The RTMKit WordPress plugin before 2.0.9 does not perform a proper capability check on one of its -builder AJAX actions, allowing users with at least the Author role to create and activate a site-wide template that overrides the header, footer or other global areas displayed to all visitors, which is normally restricted to administrators.