CVE-2026-16960
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka Loops & Logic przed wersją 4.3.0 nie ogranicza swojego publicznego działania dotyczącego danych szablonu do danych, które odwiedzający może zobaczyć. Pozwala to nieuwierzytelnionym użytkownikom czytać dowolne rekordy użytkowników (w tym adresy e-mail i role) oraz dowolne opcje witryny.
Ocena ryzyka
Ryzyko obejmuje ujawnienie wrażliwych danych użytkowników (e-maile, role) oraz konfiguracji witryny, co może ułatwić dalsze ataki i naruszyć prywatność.
Rekomendacja
Należy zaktualizować wtyczkę Loops & Logic do wersji 4.3.0 lub nowszej, która zawiera poprawkę ograniczającą dostęp do danych.
Inne podatności w Loops & Logic
Zobacz wszystkie- CVE-2026-95604Wysokie
W wtyczce Loops & Logic w wersjach <= 4.2.4 występuje nieuwierzytelniona luka typu Broken Access Control.
- CVE-2026-57391Średnie
Wtyczka Loops & Logic dla WordPressa zawiera podatność na trwały atak XSS (Stored Cross-Site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Luka występuje we wszystkich wersjach do 4.2.3 włącznie.
Oryginalny opis (angielski, źródło NVD)
The Loops & Logic WordPress plugin before 4.3.0 does not restrict its public template-data action to the data a visitor is permitted to see, allowing unauthenticated users to read arbitrary user records (including email addresses and roles) and arbitrary site options.