CVE-2026-16608
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wtyczka Download Monitor dla WordPressa przed wersją 5.2.6 nie przeprowadza kontroli autoryzacji na jednej z akcji AJAX dotyczących logowania pobrań i udostępnia nonce chroniące tę akcję nieuwierzytelnionym odwiedzającym. Umożliwia to nieuwierzytelnionym użytkownikom wstrzykiwanie dowolnych wpisów do logu pobrań i zawyżanie statystyk pobrań witryny.
Ocena ryzyka
Ryzyko polega na manipulacji statystykami pobrań, co może prowadzić do fałszywych danych analitycznych i utraty wiarygodności raportów.
Rekomendacja
Zaleca się aktualizację wtyczki Download Monitor do wersji 5.2.6 lub nowszej, która zawiera poprawki autoryzacji.
Inne podatności w Download Monitor WordPress plugin
Zobacz wszystkie- CVE-2026-112207Nieznane
Wtyczka WordPress Download Monitor przed wersją 5.3.4 nie sprawdza poprawnie, czy kliknięty link należy do witryny, zanim pobierze go po stronie klienta i wyrenderuje część odpowiedzi na stronie. Umożliwia to nieuwierzytelnionym atakującym wykonanie dowolnego JavaScriptu w przeglądarce użytkownika nakłonionego do kliknięcia spreparowanego linku.
- CVE-2026-112219Średnie
Wtyczka WordPress Download Monitor przed wersją 5.3.5 nieprawidłowo ogranicza zarządzanie listą lokalizacji systemu plików, z których może serwować pliki, do administratorów sieci w trybie multisite. Administrator podstrony może zatwierdzić dowolne lokalizacje, co pozwala wtyczce serwować nieuwierzytelnionym odwiedzającym czytelne pliki spoza katalogu uploads, w tym pliki należące do innych podstron. Instalacje single-site nie są dotknięte.
Oryginalny opis (angielski, źródło NVD)
The Download Monitor WordPress plugin before 5.2.6 does not perform authorization checks on one of its download-logging AJAX actions, and exposes the nonce protecting it to unauthenticated visitors, allowing unauthenticated users to inject arbitrary download log entries and inflate a site's download statistics.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS