CVE-2026-19699
NiskieCVSS 2.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka GutenKit dla WordPressa przed wersją 2.5.0 nie posiada wystarczającej kontroli uprawnień na niektórych punktach końcowych REST API, co pozwala użytkownikom z rolą Contributor i wyżej na pobieranie metadanych odbiorców list mailingowych z połączonego konta marketingowego.
Ocena ryzyka
Ryzyko polega na nieautoryzowanym dostępie do wrażliwych danych marketingowych, co może naruszyć prywatność klientów i prowadzić do wycieku informacji o kampaniach.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki GutenKit do wersji 2.5.0 lub nowszej, która zawiera poprawkę zabezpieczającą.
Inne podatności w GutenKit
Zobacz wszystkie- CVE-2026-19698Niskie
Wtyczka GutenKit dla WordPressa przed wersją 2.5.1 nie waliduje ani nie escapuje ustawień stylów zapisanych dla posta przed użyciem ich do budowania CSS wyświetlanego na froncie, umożliwiając użytkownikom z rolą Contributor i wyżej wstrzyknięcie dowolnego CSS do stron serwowanych innym użytkownikom i anonimowym odwiedzającym. Wykonanie JavaScript nie jest możliwe na tej roli, więc wpływ jest ograniczony do defacementu, zmiany wyglądu interfejsu i wymuszania ładowania zewnętrznych zasobów.
- CVE-2026-19697Średnie
Wtyczka GutenKit WordPress przed wersją 2.5.0 nie sanityzuje przesłanych plików SVG na wszystkich ścieżkach przesyłania, co pozwala użytkownikom z możliwością przesyłania plików (np. Author) na przesłanie złośliwego SVG i przeprowadzenie ataków Stored Cross-Site Scripting na każdego użytkownika, który go otworzy, w tym administratorów.
Oryginalny opis (angielski, źródło NVD)
The GutenKit WordPress plugin before 2.5.0 does not have a sufficient capability check on some of its REST API endpoints, allowing users with the Contributor role and above to retrieve mailing-list audience metadata from the site's connected marketing account.