CVE-2026-13729
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
Wtyczka Podlove Podcast Publisher dla WordPressa przed wersją 4.5.3 nie sprawdza nonce w niektórych akcjach administracyjnych tworzenia i usuwania. Atakujący mogą tworzyć fałszywe rekordy lub usuwać prawidłowe za pomocą sfałszowanego żądania (CSRF), gdy zalogowany administrator zostanie nakłoniony do odwiedzenia spreparowanej strony.
Ocena ryzyka
Ryzyko nieautoryzowanego tworzenia lub usuwania rekordów podcastów, co może prowadzić do utraty danych lub wprowadzenia fałszywych treści.
Rekomendacja
Zaktualizuj wtyczkę Podlove Podcast Publisher do wersji 4.5.3 lub nowszej.
Inne podatności w Podlove Podcast Publisher
Zobacz wszystkie- CVE-2026-66615Wysokie
Nieuwierzytelniona podatność Cross Site Scripting (XSS) we wtyczce Podlove Podcast Publisher w wersjach do 4.5.4. Osoba atakująca bez logowania może wstrzyknąć złośliwy skrypt do strony, który wykona się w przeglądarce ofiary.
- CVE-2026-13001Krytyczne
Wtyczka Podlove Podcast Publisher dla WordPressa jest podatna na dowolne przesyłanie plików z powodu braku walidacji typu pliku w funkcji 'podlove_handle_cache_files' we wszystkich wersjach do 4.5.1 włącznie. Umożliwia to nieuwierzytelnionym atakującym przesyłanie dowolnych plików na serwer, co może prowadzić do zdalnego wykonania kodu.
- CVE-2026-16099Wysokie
Wtyczka Podlove Podcast Publisher dla WordPressa do wersji 4.5.3 włącznie zawiera podatność na dowolne usuwanie plików. Uwierzytelnieni atakujący z uprawnieniami Contributor mogą usuwać dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
The Podlove Podcast Publisher WordPress plugin before 4.5.3 does not perform nonce validation on some of its administrative create and delete actions, allowing attackers to create rogue records or delete legitimate ones via a forged request (CSRF) when a logged-in administrator is tricked into visiting a crafted page.