CVE-2026-16294
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wtyczka PowerPress Podcasting by Blubrry przed wersją 11.17.1 nie waliduje jednego z ustawień URL odcinka podcastu przed wykonaniem żądania po stronie serwera, co pozwala użytkownikom z rolą co najmniej Contributor na przeprowadzanie ataków Server-Side Request Forgery (SSRF) skierowanych na wewnętrzne usługi.
Ocena ryzyka
Ataki SSRF mogą umożliwić dostęp do wewnętrznych systemów, co może prowadzić do eskalacji uprawnień lub wycieku danych.
Rekomendacja
Zaktualizuj wtyczkę PowerPress Podcasting do wersji 11.17.1 lub nowszej, która zawiera poprawkę.
Inne podatności w PowerPress Podcasting
Zobacz wszystkie- CVE-2026-97354Średnie
Wtyczka PowerPress Podcasting by Blubrry dla WordPressa przed wersją 11.17.11 nie weryfikuje celu przekierowań podczas pobierania adresu URL multimediów podanego przez użytkownika, co pozwala użytkownikom z rolą współautora i wyższą na przeprowadzanie ataków SSRF na wewnętrzne usługi.
- CVE-2026-104387Wysokie
Wtyczka PowerPress Podcasting w wersjach do 11.17.9 włącznie zawiera podatność typu Broken Access Control, którą może wykorzystać nieuwierzytelniony atakujący.
- CVE-2026-104407Wysokie
Wtyczka PowerPress Podcasting do WordPressa (wersje do 11.17.9) zawiera podatność Cross-Site Request Forgery (CSRF), która może pozwolić na wykonanie nieautoryzowanych działań w imieniu zalogowanego użytkownika.
- CVE-2026-104388Średnie
Wtyczka PowerPress Podcasting do WordPressa zawiera podatność na brak autoryzacji, która umożliwia odzyskanie osadzonych wrażliwych danych. Problem dotyczy wersji do 11.17.9 włącznie.
- CVE-2026-16293Średnie
Wtyczka PowerPress Podcasting by Blubrry dla WordPressa przed wersją 11.16.11 nie dezynfekuje i nie escapuje niektórych ustawień odcinków podcastu, co może pozwolić użytkownikom z rolą tak niską jak Współautor na przeprowadzanie ataków Stored Cross-Site Scripting nawet gdy możliwość unfiltered_html jest zabroniona.
- CVE-2026-24637Wysokie
Podatność SQL Injection w PowerPress Podcasting w wersjach do 11.15.10 umożliwia atakującym wstrzykiwanie złośliwych zapytań SQL.
- CVE-2025-64201Średnie
Wtyczka PowerPress Podcasting dla WordPress zawiera podatność na Cross-Site Request Forgery (CSRF). Podatność dotyczy wersji do 11.13.12 włącznie.
Oryginalny opis (angielski, źródło NVD)
The PowerPress Podcasting plugin by Blubrry WordPress plugin before 11.17.1 does not validate one of its Podcast Episode URL settings before performing a server-side request with it, allowing users with a role as low as Contributor to perform Server-Side Request Forgery attacks that can target internal services.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS