CVE-2026-19883

WysokieCVSS 8.8

Opublikowano: 22/08/2026(UTC)Zaktualizowano: 24/08/2026(UTC)Przetłumaczono: 22/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.37%

Percentyl 30 - wyżej niż 30% wszystkich znanych CVE

Streszczenie

Wtyczka WPeMatico RSS Feed Fetcher dla WordPressa do wersji 2.8.24 włącznie jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji wpematico_import_settings. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta lub wyższym mogą aktualizować dowolne opcje w witrynie WordPress, co może prowadzić do eskalacji uprawnień.

Ocena ryzyka

Atakujący może zmienić domyślną rolę rejestracji na administratora i włączyć rejestrację użytkowników, co umożliwi uzyskanie dostępu administracyjnego do witryny.

Rekomendacja

Zaleca się aktualizację wtyczki do najnowszej dostępnej wersji, która zawiera poprawkę zabezpieczającą.

Inne podatności w WPeMatico RSS Feed Fetcher

CVE-2026-57349Wysokie
Wtyczka WPeMatico RSS Feed Fetcher w wersjach do 2.8.17 zawiera podatność na nieuwierzytelniony atak Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt bez konieczności logowania.

Oryginalny opis (angielski, źródło NVD)

The WPeMatico RSS Feed Fetcher plugin for WordPress is vulnerable to unauthorized modification of data that can lead to privilege escalation due to a missing capability check on the wpematico_import_settings function in all versions up to, and including, 2.8.24. This makes it possible for authenticated attackers, with subscriber-level access and above, to update arbitrary options on the WordPress site. This can be leveraged to update the default role for registration to administrator and enable user registration for attackers to gain administrative user access.