CVE-2026-18365

ŚrednieCVSS 4.3

Opublikowano: 23/09/2026(UTC)Zaktualizowano: 23/09/2026(UTC)Przetłumaczono: 23/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 10 - wyżej niż 10% wszystkich znanych CVE

Streszczenie

Wtyczka zportals dla WordPressa przed wersją 6.4.2 nie przeprowadza żadnej kontroli uprawnień ani nonce na jednej z akcji AJAX, co pozwala użytkownikom z rolą subskrybenta na ujawnienie nazwy wyświetlanej i adresu e-mail każdego zarejestrowanego użytkownika, w tym administratorów.

Ocena ryzyka

Ujawnienie danych osobowych wszystkich użytkowników, w tym administratorów, może prowadzić do ataków phishingowych i naruszenia prywatności.

Rekomendacja

Zaktualizuj wtyczkę zportals do wersji 6.4.2 lub nowszej, która zawiera poprawkę kontroli uprawnień i nonce.

Inne podatności w zportals

CVE-2026-18364Średnie
Wtyczka zportals dla WordPressa przed wersją 6.4.2 nie przeprowadza żadnej kontroli uprawnień ani nonce na kilku akcjach AJAX, co pozwala użytkownikom z rolą subskrybenta na modyfikację zapisanych ustawień integracji wtyczki zportals.

Oryginalny opis (angielski, źródło NVD)

The zportals WordPress plugin before 6.4.2 does not perform any capability or nonce check on one of its AJAX actions, allowing users with a subscriber-level account to disclose the display name and email address of every registered user, including administrators.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS