CVE-2026-13468
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Wtyczka Visualizer – Tables & Charts Manager z wbudowanym generatorem AI dla WordPressa do wersji 4.0.3 włącznie zawiera podatność na pominięcie autoryzacji. Niezautoryzowani atakujący mogą uzyskać dostęp i eksportować zawartość dowolnego wykresu, w tym w statusach szkicu, prywatnym, oczekującym, przyszłym lub koszu, jako CSV, Excel lub HTML przez endpoint REST /wp-json/visualizer/v1/action/{chart}/{type}/.
Ocena ryzyka
Ryzyko polega na możliwości wycieku poufnych danych biznesowych lub klientów przechowywanych w wykresach, które powinny być chronione. Atakujący nie musi być zalogowany, co ułatwia eksploatację i może prowadzić do naruszenia prywatności oraz strat reputacyjnych.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Visualizer do najnowszej dostępnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest możliwa, tymczasowo wyłącz endpoint REST /wp-json/visualizer/v1/action/ za pomocą reguł firewall lub wtyczki bezpieczeństwa.
Powiązane podatności
- CVE-2026-75430Krytyczne
PowerJob Worker w wersji 5.1.2 (i prawdopodobnie wcześniejszych) udostępnia endpoint HTTP /worker/deployContainer bez uwierzytelnienia na domyślnym porcie transportowym, co pozwala zdalnemu atakującemu na wykonanie dowolnego kodu.
- CVE-2026-75431Krytyczne
PowerJob Server w wersji 5.1.2 (i prawdopodobnie wcześniejszych) używa przewidywalnego klucza podpisywania JWT do uwierzytelniania opartego na HS256, co pozwala zdalnemu atakującemu na wykonanie dowolnego kodu.
- CVE-2026-44402Krytyczne
Voltronic Power SNMP Web Pro 1.1 zawiera nieuwierzytelnioną podatność na zdalne wykonanie kodu w endpointcie upload.cgi aktualizacji firmware, umożliwiającą zdalnym atakującym wykonanie dowolnych poleceń jako root przez przesłanie spreparowanego archiwum tar.
- CVE-2026-19274Krytyczne
IBM Observability with Instana (Agent) Build 1.0.303 do 1.0.323 IBM Instana Agent Operator może pozwolić uwierzytelnionemu tenantowi Kubernetes na przejęcie lub trwałe zniszczenie uprawnień RBAC na poziomie klastra innego tenanta, z powodu obiektów RBAC o zasięgu klastrowym kluczowanych wyłącznie nazwą CR bez rozróżnienia przestrzeni nazw.
- CVE-2026-18658Krytyczne
IBM Operational Decision Manager w wersjach 9.6.0.0, 9.5.0.0, 8.11.1.0, 8.11.0.1, 8.12.0.1, 9.5.0.1 i 9.0.0.1 jest podatny na wstrzykiwanie SQL. Nieuwierzytelniony atakujący może wykonać dowolne zapytania SQL i wykorzystać funkcje bazy danych do zapisania webshella w katalogu głównym aplikacji, co prowadzi do zdalnego wykonania kodu.
- CVE-2026-85696Krytyczne
SadTalker zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego w procesie muxowania wideo, gdzie nazwy przesłanych plików audio są interpolowane do poleceń ffmpeg bez odpowiedniego escapowania. Atakujący mogą przesyłać pliki audio z metaznakami powłoki w nazwie, aby wyrwać się z argumentów w cudzysłowie i wykonać dowolne polecenia systemowe podczas generowania wideo.
- CVE-2026-85695Krytyczne
FastChat zawiera podatność na ominięcie uwierzytelniania w punkcie końcowym /register_worker, która pozwala nieuwierzytelnionym atakującym rejestrować dowolne adresy workerów i przeprowadzać ataki SSRF. Atakujący mogą rejestrować złośliwych workerów pod nazwami modeli ofiar, aby przechwytywać prompty, obrazy i odpowiedzi użytkowników lub skanować wewnętrzne porty sieciowe.
- CVE-2026-85688Krytyczne
TEN Framework 0.11.71 zawiera nieuwierzytelnione podatności na dowolny odczyt i zapis plików w punktach końcowych API TMAN Designer file-content. Atakujący mogą wysyłać żądania POST i PUT do /api/designer/v1/file-content, aby czytać dowolne pliki lub zapisywać złośliwą treść do ścieżek systemowych, co umożliwia wykonanie kodu przez authorized_keys, pliki cron lub pliki wykonywalne grafów.
- CVE-2026-85684Krytyczne
marker do wersji 2.0.0 zawiera podatność na traversal ścieżek w handlerze FastAPI /marker/upload, który nie sanityzuje parametru file.filename. Nieuwierzytelnieni atakujący mogą dostarczać nazwy plików zawierające sekwencje traversal, aby zapisywać dowolne pliki w dowolnej lokalizacji lub usuwać istniejące pliki w systemie.
- CVE-2026-85672Krytyczne
zerox 1.1.20 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego w mechanizmie pobierania plików, gdzie rozszerzenie tymczasowego pliku pochodzące z URL dokumentu jest interpolowane bez sanityzacji do poleceń powłoki wykonywanych przez narzędzia poppler. Atakujący mogą tworzyć URL dokumentów ze złośliwymi rozszerzeniami zawierającymi składnię podstawiania poleceń, aby wykonać dowolne polecenia OS przed przetworzeniem dokumentu.
Oryginalny opis (angielski, źródło NVD)
The Visualizer – Tables & Charts Manager with Built-in AI Generator plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 4.0.3. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for unauthenticated attackers to access and export the contents of any visualizer chart on the site — including charts in draft, private, pending, future, or trash status — as CSV, Excel, or HTML via the /wp-json/visualizer/v1/action/{chart}/{type}/ REST endpoint. This bypass is particularly impactful because the standard WordPress REST endpoint for the non-public 'visualizer' custom post type correctly enforces capability checks and returns HTTP 401 to unauthenticated callers, whereas this plugin-registered route circumvents that protection entirely.