CVE-2026-1928
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 45 - wyżej niż 45% wszystkich znanych CVE
Streszczenie
Wtyczka Rank Math SEO dla WordPressa jest podatna na wstrzyknięcie obiektu PHP poprzez deserializację niezaufanych danych w punkcie końcowym REST API updateMeta. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć obiekt PHP, a obecność łańcucha POP umożliwia zdalne wykonanie kodu poprzez zapis webshella w katalogu uploads.
Ocena ryzyka
Możliwe przejęcie kontroli nad serwerem WordPress poprzez zdalne wykonanie kodu, co może prowadzić do kradzieży danych, instalacji backdoorów i pełnej kompromitacji witryny.
Rekomendacja
Zaktualizuj wtyczkę Rank Math SEO do wersji nowszej niż 1.0.276, a jeśli to niemożliwe, ogranicz uprawnienia użytkowników Contributor i monitoruj katalog uploads pod kątem podejrzanych plików.
Inne podatności w Rank Math SEO WordPress plugin
Zobacz wszystkie- CVE-2026-77788Średnie
Wtyczka Rank Math SEO WordPress przed wersją 1.0.277 nie weryfikuje, czy aktualizowany wiersz metadanych należy do obiektu, do którego użytkownik został autoryzowany. Umożliwia to użytkownikom z rolą Autora i wyżej nadpisywanie dowolnych metadanych postów i użytkowników, w tym należących do użytkowników z wyższymi uprawnieniami.
- CVE-2026-77782Średnie
Wtyczka Rank Math SEO WordPress przed wersją 1.0.277.1 nie sprawdza, czy post jest chroniony hasłem, zanim użyje jego treści do budowania publicznie generowanych metadanych SEO. Umożliwia to nieuwierzytelnionym użytkownikom odczytanie treści postów chronionych hasłem.
Oryginalny opis (angielski, źródło NVD)
The Rank Math SEO – AI SEO Tools to Dominate SEO Rankings plugin for WordPress is vulnerable to PHP Object Injection in all versions up to, and including, 1.0.276 via deserialization of untrusted input in the updateMeta REST API endpoint. This makes it possible forauthenticated attackers, with Contributor-level access and above, to inject a PHP Object. The additional presence of a POP chain allows attackers to achieve remote code execution by writing a webshell to the uploads directory.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS