CVE-2026-14602
KrytyczneCVSS 9.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
Wtyczka Remote API dla WordPressa do wersji 0.2 nie uwierzytelnia żądania przed deserializacją danych dostarczonych przez użytkownika. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne obiekty PHP, co może prowadzić do zdalnego wykonania kodu, jeśli w systemie znajduje się odpowiedni gadżet (gadget chain).
Ocena ryzyka
Atakujący może przejąć kontrolę nad serwerem WordPress, wykonując dowolny kod, co grozi całkowitą kompromitacją systemu.
Rekomendacja
Zaktualizuj wtyczkę Remote API do wersji powyżej 0.2 lub usuń ją, jeśli nie jest niezbędna.
Oryginalny opis (angielski, źródło NVD)
The Remote API WordPress plugin through 0.2 does not authenticate a request before deserializing user-supplied input, allowing unauthenticated attackers to inject arbitrary PHP objects, which can lead to remote code execution when a suitable gadget chain is present through another installed Remote API WordPress plugin through 0.2.