CVE-2026-1363
KrytyczneStreszczenie
IAQS i I6 opracowane przez JNC mają podatność na wymuszanie zabezpieczeń po stronie serwera z poziomu klienta, co pozwala nieautoryzowanym atakującym zdalnym na uzyskanie uprawnień administratora poprzez manipulację interfejsem webowym.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowany dostęp do systemów administracyjnych, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych.
Rekomendacja
Zaleca się wprowadzenie dodatkowych mechanizmów uwierzytelniania oraz przegląd i wzmocnienie zabezpieczeń interfejsu webowego, aby zminimalizować ryzyko ataków.
Powiązane podatności
- CVE-2026-108707Krytyczne
Wukong_HRM do commita 186115e zawiera podatność obejścia uwierzytelniania w ParamAspect, która pozwala nieuwierzytelnionym atakującym wywołać dowolny endpoint API HRM poprzez pominięcie nagłówka AUTH-TOKEN. Atakujący uzyskują dostęp na poziomie administratora HR do odczytu odcinków wypłat, historii wynagrodzeń i danych osobowych pracowników, pobierania załączników oraz modyfikacji lub usuwania firmowych rekordów HR.
- CVE-2026-81797Krytyczne
Motyw WordPress Buzz Stone | Magazine & Viral Blog w wersjach do 1.0.2 zawiera podatność typu PHP Object Injection. Atakujący nieuwierzytelniony może wstrzyknąć złośliwy obiekt PHP, co może prowadzić do wykonania dowolnego kodu lub innych poważnych skutków.
- CVE-2026-78535Krytyczne
Motyw WordPress Photolia w wersjach do 1.0.3 zawiera podatność typu PHP Object Injection. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy obiekt PHP, co może prowadzić do wykonania dowolnego kodu lub innych poważnych skutków.
- CVE-2026-78533Krytyczne
Motyw WordPress Qwery w wersjach do 3.6.1 zawiera podatność typu PHP Object Injection. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy obiekt PHP, co może prowadzić do wykonania dowolnego kodu lub innych poważnych skutków.
- CVE-2026-78531Krytyczne
Motyw WordPress Jacqueline w wersjach do 2.22 zawiera podatność typu PHP Object Injection. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy obiekt PHP, co może prowadzić do wykonania dowolnego kodu lub innych poważnych skutków.
- CVE-2026-78529Krytyczne
Motyw WordPress Alliance w wersjach do 3.11 zawiera podatność typu PHP Object Injection. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy obiekt PHP, co może prowadzić do wykonania dowolnego kodu lub innych poważnych skutków.
- CVE-2026-66569Krytyczne
Motyw WordPress Kicker w wersjach do 2.2.1 zawiera podatność typu PHP Object Injection. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy obiekt PHP, co może prowadzić do wykonania dowolnego kodu lub innych poważnych skutków.
- CVE-2026-66568Krytyczne
Motyw WordPress Original w wersjach do 1.9.0 zawiera podatność typu PHP Object Injection. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy obiekt PHP, co może prowadzić do wykonania dowolnego kodu lub innych poważnych skutków.
- CVE-2026-66567Krytyczne
Motyw WordPress Anesta w wersjach do 1.5.3 zawiera podatność typu PHP Object Injection. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy obiekt PHP, co może prowadzić do wykonania dowolnego kodu lub innych poważnych skutków.
- CVE-2026-66565Krytyczne
Motyw WordPress FC United w wersjach do 1.1.1 zawiera podatność typu PHP Object Injection. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy obiekt PHP, co może prowadzić do wykonania dowolnego kodu lub innych poważnych skutków.
Oryginalny opis (angielski, źródło NVD)
IAQS and I6 developed by JNC has a Client-Side Enforcement of Server-Side Security vulnerability, allowing unauthenticated remote attackers to gain administrator privileges by manipulating the web front-end.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS