CVE-2026-14305

ŚrednieCVSS 5.3

Opublikowano: 30/07/2026(UTC)Zaktualizowano: 30/07/2026(UTC)Przetłumaczono: 30/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.15%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

Wtyczka WP Delicious dla WordPressa przed wersją 1.10.2 nie sprawdza autoryzacji w jednej z akcji AJAX. Nieuwierzytelnieni użytkownicy mogą modyfikować ograniczone metadane postów (licznik polubień i powiązaną listę identyfikatorów) na dowolnych postach, w tym zawyżać licznik i nieograniczenie zwiększać przechowywane metadane.

Ocena ryzyka

Atakujący mogą manipulować popularnością treści (np. zawyżać polubienia) oraz powodować nadmierne zużycie miejsca w bazie danych przez niekontrolowany wzrost metadanych.

Rekomendacja

Zaktualizuj wtyczkę WP Delicious do wersji 1.10.2 lub nowszej.

Inne podatności w WP Delicious WordPress plugin

CVE-2026-92411Średnie
Wtyczka WordPress WP Delicious przed wersją 1.10.8 nie waliduje ani nie escapuje nazwy znacznika HTML pochodzącej z danych bloku przepisu dostarczonych przez użytkownika przed wyrenderowaniem jej na froncie. Umożliwia to użytkownikom z rolą Contributor i wyższą wstrzyknięcie dowolnych znaczników HTML, w tym znaczników script, które wykonują się przy wyświetleniu strony przepisu.

Oryginalny opis (angielski, źródło NVD)

The WP Delicious WordPress plugin before 1.10.2 does not perform an authorization check on one of its AJAX actions, allowing unauthenticated users to modify limited post metadata (a like counter and an associated identifier list) on arbitrary posts, including inflating the counter and growing the stored metadata without bound.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS