CVE-2026-18037
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wtyczka Create WordPress przed wersją 2.5.4 nie przeprowadza kontroli autoryzacji przed wyświetleniem treści przez jedną z publicznych tras API REST, a trasa ta dodatkowo publikuje żądaną treść jako efekt uboczny, co pozwala nieuwierzytelnionym atakującym na odczyt nieopublikowanych treści i uczynienie ich publicznie dostępnymi.
Ocena ryzyka
Ryzyko polega na ujawnieniu nieopublikowanych treści, co może naruszyć poufność i integralność danych, a także zaszkodzić reputacji organizacji.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Create do wersji 2.5.4 lub nowszej, która zawiera poprawkę zabezpieczającą.
Inne podatności w Create WordPress plugin
Zobacz wszystkie- CVE-2026-13200Średnie
Wtyczka Create dla WordPressa w wersjach do 2.5.3 włącznie jest podatna na ogólne wstrzyknięcie SQL poprzez parametr 'order' z powodu niewystarczającego escapowania danych wejściowych i braku odpowiedniego przygotowania zapytania SQL. Podatna gałąź SQL jest uruchamiana tylko, gdy w żądaniu obecny jest co najmniej jeden z parametrów: linked_posts, created_after, created_before, missing_fields, post_id, wartość typu oddzielona przecinkami lub exclude_type.
- CVE-2026-13191Średnie
Wtyczka Create dla WordPressa w wersjach do 2.5.3 włącznie jest podatna na ogólne wstrzyknięcie SQL poprzez parametr 'order_by' z powodu niewystarczającego escapowania danych wejściowych i braku odpowiedniego przygotowania zapytania SQL. Domyślny callback uprawnień endpointu REST to publish_posts, co oznacza, że każdy użytkownik z rolą Author lub wyższą może osiągnąć podatny kod bez dodatkowych warunków.
- CVE-2026-16992Średnie
Wtyczka Create WordPress przed wersją 2.5.4 nie przeprowadza kontroli autoryzacji przed zwróceniem treści przez jedną z tras API REST, a trasa ta dodatkowo publikuje żądaną treść jako efekt uboczny, co pozwala nieuwierzytelnionym atakującym na odczyt nieopublikowanych treści i uczynienie ich publicznie dostępnymi.
Oryginalny opis (angielski, źródło NVD)
The Create WordPress plugin before 2.5.4 does not perform an authorization check before rendering content over one of its public REST API routes, and that route additionally publishes the requested content as a side effect, allowing unauthenticated attackers to read unpublished content and to make it publicly available.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS