CVE-2026-14444
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Podatność eskalacji uprawnień w wtyczce WP Fusion (Pro) dla WordPressa, we wszystkich wersjach do 3.47.13 włącznie. Wynika z niewystarczającej kontroli autoryzacji parametru roli w funkcji thrivecart() w obsłudze ThriveCart Auto Login. Uwierzytelniony atakujący z dostępem na poziomie Subscriber i posiadający access_key może utworzyć nowe konto administratora i przejąć pełną kontrolę nad witryną. access_key jest udostępniany klientom ThriveCart w ramach procesu konfiguracji, więc jest dostępny dla atakujących, którzy dokonali zakupu. Podatność jest wykorzystywana tylko gdy opcja ThriveCart Auto Login jest włączona.
Ocena ryzyka
Atakujący może uzyskać pełną kontrolę nad witryną WordPress, co może prowadzić do przejęcia danych, wstrzyknięcia złośliwego kodu i całkowitej kompromitacji witryny.
Rekomendacja
Zaktualizuj wtyczkę WP Fusion (Pro) do wersji nowszej niż 3.47.13. Jeśli nie jest wymagana, wyłącz opcję ThriveCart Auto Login. Ogranicz dostęp do access_key i monitoruj konta użytkowników pod kątem nieautoryzowanych zmian.
Powiązane podatności
- CVE-2026-119597Krytyczne
OpenDeepWiki do wersji 2.0.6 zawiera zaszyty na stałe klucz podpisywania JWT w pliku appsettings.json. Nieuwierzytelniony atakujący może sfałszować tokeny administratora z rolą Admin i uzyskać dostęp do endpointów /api/admin.
- CVE-2026-116366Krytyczne
W ClickHouse Server wykryto podatność, która w określonych warunkach może pozwolić nieuwierzytelnionemu użytkownikowi z dostępem sieciowym na wykonanie dowolnego kodu na serwerze ClickHouse.
- CVE-2025-31704Krytyczne
W Dahua Intelligent Connection Center wykryto podatność, która pozwala zdalnemu atakującemu wysłać specjalnie spreparowane żądanie do systemu i wykonać dowolne polecenia, co prowadzi do zdalnego wykonania kodu.
- CVE-2026-82104Krytyczne
W urządzeniach Teltonika Networks RUTOS (wersje 7.22–7.24.2) oraz TSWOS (wersje 1.9–1.10) istnieje luka pozwalająca nieuwierzytelnionemu użytkownikowi na bezpośrednie wywoływanie funkcji LUA z pominięciem walidacji stosowanych przy normalnych żądaniach API. Ponieważ żądania te nie przechodzą prawidłowych przepływów, może to prowadzić do wykonania poleceń w systemie operacyjnym.
- CVE-2026-103039Krytyczne
Wtyczka Gravity Forms dla WordPressa w wersjach do 3.1.2 włącznie jest podatna na wstrzyknięcie obiektu PHP poprzez pole niestandardowe wpisu typu List. Wartość pola jest przekazywana do globalnej funkcji maybe_unserialize() bez ograniczeń zamiast do utwardzonej GFCommon::maybe_unserialize(), co pozwala nieuwierzytelnionemu atakującemu wstrzyknąć obiekt PHP do metadanych wpisu. Jeśli w innym pluginie lub motywie istnieje łańcuch gadgetów, może to prowadzić do zdalnego wykonania kodu.
- CVE-2026-119263Krytyczne
Podatność typu memory corruption w mechanizmie GarbageCollection w Google Chrome przed wersją 156.0.8078.79. Zdalny atakujący może potencjalnie wykonać dowolny kod poza piaskownicą za pomocą spreparowanej strony HTML.
- CVE-2026-119261Krytyczne
Nieprawidłowa walidacja danych wejściowych w bibliotece Skia w Google Chrome przed wersją 156.0.8078.79. Zdalny atakujący może potencjalnie wykonać dowolny kod poza piaskownicą za pomocą spreparowanej strony HTML.
- CVE-2023-22793Krytyczne
Podatność umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie kodu (RCE) na serwerach z usługą Veeam Virtualization Extensions w Veeam Management Pack for Microsoft System Center.
- CVE-2026-61707Krytyczne
W SOCFortress CoPilot przed wersją 0.1.76 szablony raportów przesyłane przez użytkownika o najniższych uprawnieniach (customer_user) są później wykonywane przez niesandboxowane silniki Jinja2 podczas generowania raportu przez administratora lub analityka. Brak walidacji treści szablonu oraz brak izolacji między klientami pozwala atakującemu na wstrzyknięcie złośliwych wyrażeń Jinja, które są wykonywane jako kod Python na backendzie.
- CVE-2026-61645Krytyczne
W Docat występuje luka umożliwiająca przesłanie dowolnego pliku przez API Upload, ponieważ interfejs nie waliduje ścieżki ani typu przesyłanego pliku. Atakujący może nadpisać wrażliwe pliki konfiguracyjne lub umieścić złośliwe pliki na serwerze WWW Docat.
Oryginalny opis (angielski, źródło NVD)
The WP Fusion (Pro) plugin for WordPress is vulnerable to Privilege Escalation in all versions up to, and including, 3.47.13. This is due to insufficient authorization checks on the role parameter in the ThriveCart Auto Login handler's thrivecart() function. This makes it possible for authenticated attackers, with Subscriber-level access and above, and who possess the access_key, to create a new user account with administrator privileges and gain full control over the WordPress site. The required access_key is intentionally shared with ThriveCart customers as part of the plugin's documented setup process, making it accessible to attackers who have made a purchase. The vulnerability is only exploitable when the ThriveCart Auto Login option is enabled.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS