CVE-2026-14183
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Podatność we wtyczce Classified Listing do WordPressa (przed wersją 5.3.9). Umożliwia uwierzytelnionym użytkownikom z dostępem na poziomie subskrybenta odczytanie szczegółów potwierdzenia płatności zamówień innych użytkowników, ponieważ wtyczka nie weryfikuje, czy zamówienie należy do żądającego użytkownika.
Ocena ryzyka
Ryzyko wycieku danych płatniczych innych użytkowników, co może naruszyć prywatność i bezpieczeństwo finansowe.
Rekomendacja
Zaktualizuj wtyczkę Classified Listing do wersji 5.3.9 lub nowszej.
Inne podatności w Classified Listing
Zobacz wszystkie- CVE-2026-57355Średnie
Wtyczka Classified Listing dla WordPressa w wersji 5.4.2 i starszych zawiera podatność polegającą na złamaniu kontroli dostępu przez subskrybenta. Umożliwia to użytkownikom z rolą subskrybenta wykonywanie nieautoryzowanych operacji.
- CVE-2026-57344Wysokie
Wtyczka Classified Listing dla WordPressa w wersji 5.4.2 i starszych zawiera podatność na nieuwierzytelniony atak typu Cross Site Scripting (XSS). Oznacza to, że atakujący może wstrzyknąć złośliwy kod JavaScript bez konieczności logowania.
- CVE-2026-16276Niskie
Wtyczka WordPress 'Classified Listing' przed wersją 5.4.4 nie przeprowadza kontroli uprawnień w akcji AJAX, która zwraca zagregowane sumy przychodów sklepu, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na odczytywanie dziennych danych przychodów normalnie zarezerwowanych dla administratorów i menedżerów raportów.
- CVE-2026-16274Niskie
Wtyczka WordPress 'Classified Listing' przed wersją 5.4.4 nie przeprowadza kontroli uprawnień ani własności w akcji AJAX, która zwraca treść posta, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na odczytywanie treści dowolnego posta, strony lub niestandardowego typu posta na stronie — w tym szkiców, oczekujących i prywatnych postów należących do innych użytkowników — niezależnie od własności.
- CVE-2026-42658Wysokie
W wersjach Classified Listing do 5.3.8 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.
- CVE-2026-42651Średnie
Wersje Classified Listing do 5.3.9 mają lukę w kontroli dostępu, która może umożliwić nieautoryzowanym subskrybentom dostęp do zasobów.
- CVE-2026-42640Średnie
Wersje Classified Listing do 5.3.8 mają lukę w kontroli dostępu, która pozwala na nieautoryzowany dostęp.
- CVE-2026-42679Średnie
Podatność na Path Traversal we wtyczce Classified Listing (WordPress) do wersji 5.3.8. Umożliwia atakującemu dostęp do plików poza dozwolonym katalogiem.
Oryginalny opis (angielski, źródło NVD)
The Classified Listing WordPress plugin before 5.3.9 does not verify that the order targeted by its payment-receipt handler belongs to the requesting user, allowing authenticated users with subscriber-level access to read the payment receipt details of any other user's order.