CVE-2026-16281

WysokieCVSS 7.1

Opublikowano: 04/09/2026(UTC)Zaktualizowano: 08/09/2026(UTC)Przetłumaczono: 04/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

Wtyczka Classified Listing dla WordPressa przed wersją 6.1.1 nie weryfikuje, czy wywołujący jest właścicielem lub ma uprawnienia do edycji docelowej oferty przed wykonaniem akcji AJAX edycji obrazów AI, która usuwa lub dołącza multimedia. Pozwala to każdemu uwierzytelnionemu użytkownikowi, w tym subskrybentowi, na trwałe usuwanie załączników z dowolnej oferty innego użytkownika oraz dołączanie plików do takiej oferty.

Ocena ryzyka

Organizacja może ponieść straty wizerunkowe i operacyjne, ponieważ uwierzytelnieni użytkownicy o niskich uprawnieniach mogą niszczyć dane innych użytkowników, co prowadzi do utraty integralności treści i zaufania do platformy.

Rekomendacja

Należy niezwłocznie zaktualizować wtyczkę Classified Listing do wersji 6.1.1 lub nowszej, która zawiera poprawkę zabezpieczającą.

Inne podatności w Classified Listing WordPress plugin

CVE-2026-106646Średnie
Wtyczka WordPress Classified Listing przed wersją 6.1.1 nie weryfikuje, czy żądający jest właścicielem lub może edytować docelowy wpis, gdy żądanie galerii odnosi się do niezałączonego elementu multimedialnego. Umożliwia to każdemu uwierzytelnionemu użytkownikowi z kontem na poziomie subskrybenta modyfikowanie, uszkodzenie lub usunięcie załączników biblioteki multimedialnej należących do innych użytkowników, w tym administratorów.

Oryginalny opis (angielski, źródło NVD)

The Classified Listing WordPress plugin before 6.1.1 does not verify that the caller owns or can edit the target listing before its AI image-editing AJAX action deletes or attaches media, allowing any authenticated user, including a subscriber, to permanently delete attachments from, and attach files to, any listing owned by another user.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS