CVE-2026-14925
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Import WP przed wersją 2.14.23 nie przeprowadza żadnej kontroli autoryzacji w jednym z handlerów pobierania plików eksportu. Niezalogowani atakujący mogą pobierać pliki eksportu wygenerowane przez administratorów, które mogą zawierać dane osobowe użytkowników, takie jak adresy e-mail, nazwy logowania i role. Wykorzystanie wymaga istnienia niewykorzystanego eksportu i uzyskania klucza pobierania opartego na czasie o niskiej entropii.
Ocena ryzyka
Ryzyko wycieku danych osobowych użytkowników, co może naruszyć RODO i inne przepisy o ochronie danych. Atakujący może uzyskać dane uwierzytelniające i role użytkowników.
Rekomendacja
Zaktualizuj wtyczkę Import WP do wersji 2.14.23 lub nowszej. Usuń niepotrzebne pliki eksportu i wzmocnij mechanizmy autoryzacji.
Oryginalny opis (angielski, źródło NVD)
The Import WP WordPress plugin before 2.14.23 does not perform any authorization check on one of its export-file download handlers, allowing unauthenticated attackers to download export files generated by administrators, which may contain user personal data such as email addresses, login names and roles. Exploitation requires an unconsumed export to already exist and a low-entropy, time-based download key to be obtained.