CVE-2026-13414
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka CMP dla WordPressa przed wersją 4.1.18 nie przeprowadza kontroli autoryzacji na jednej z akcji AJAX i polega na nonce, które jest pomijane dla niektórych (i ujawniane anonimowym odwiedzającym na innych), co pozwala nieuwierzytelnionym atakującym na wyłączenie trybu konserwacji/coming-soon strony w nie-domyślnej konfiguracji odliczania.
Ocena ryzyka
Nieuwierzytelniony atakujący może wyłączyć tryb konserwacji lub coming-soon, co może ujawnić niedokończoną lub wrażliwą treść strony publicznej, prowadząc do naruszenia integralności i poufności.
Rekomendacja
Zaleca się aktualizację wtyczki CMP do wersji 4.1.18 lub nowszej oraz sprawdzenie konfiguracji trybu konserwacji, aby upewnić się, że jest bezpieczna.
Inne podatności w CMP WordPress plugin
Zobacz wszystkie- CVE-2026-13416Niskie
Wtyczka CMP dla WordPressa przed wersją 4.1.18 nie sanityzuje i nie escapuje wartości ustawień przed wyświetleniem jej na stronie coming-soon, co pozwala użytkownikom z rolą Edytora (gdy administrator przyznał Edytorowi dostęp do kontrolek paska administracyjnego wtyczki CMP) na wstrzyknięcie dowolnych skryptów webowych, które wykonują się, gdy odwiedzający zobaczy stronę.
- CVE-2026-13415Wysokie
Wtyczka CMP dla WordPressa przed wersją 4.1.18 nie egzekwuje listy dozwolonych nazw opcji podczas importowania ustawień przez jedną z akcji AJAX, co pozwala użytkownikom z rolą Edytora (gdy administrator przyznał Edytorowi dostęp do kontrolek paska administracyjnego wtyczki CMP) na aktualizację dowolnych opcji WordPressa, w tym opcji prowadzących do eskalacji uprawnień do Administratora.
Oryginalny opis (angielski, źródło NVD)
The CMP WordPress plugin before 4.1.18 does not perform authorization checks on one of its AJAX actions and relies on a nonce that is skipped for certain (and exposed to anonymous visitors on others), allowing unauthenticated attackers to disable the site's maintenance/coming-soon mode under a non-default countdown configuration.