CVE-2026-25431
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka Hustle firmy WPMU DEV (do wersji 7.8.10.1) zawiera podatność braku autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
Ocena ryzyka
Atakujący może wykorzystać brak autoryzacji do wykonania działań zastrzeżonych dla uprawnionych użytkowników, co może prowadzić do nieautoryzowanych zmian w witrynie.
Rekomendacja
Zaktualizować wtyczkę Hustle do wersji nowszej niż 7.8.10.1 zawierającej poprawkę.
Inne podatności w Hustle
Zobacz wszystkie- CVE-2026-109386Średnie
Wtyczka Hustle dla WordPressa jest podatna na obejście autoryzacji w wersjach do 7.8.14.3 włącznie. Z powodu nieprawidłowej weryfikacji uprawnień użytkownika, uwierzytelniony atakujący z niestandardowym poziomem dostępu może nadpisać dane uwierzytelniające integracji ESP (AWeber, Constant Contact, Infusionsoft, ConvertKit, HubSpot) i przekierować zgłoszenia formularzy do swojego tenanta, a w przypadku HubSpot usunąć tokeny OAuth.
- CVE-2026-103075Średnie
Wtyczka Hustle (wersje do 7.8.14.2 włącznie) zawiera podatność typu Missing Authorization, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wszystkich wersji od n/a do 7.8.14.2.
- CVE-2026-80440Średnie
Wtyczka Hustle dla WordPressa przed wersją 7.8.14.2 nie zapobiega wykonywaniu shortcode'ów w przesłanych wartościach formularza, gdy podstawia te wartości do wiadomości zwracanej po wysłaniu. Zabezpieczenie może zostać ominięte przez zagnieżdżanie, co pozwala nieuwierzytelnionym użytkownikom na uruchamianie dowolnych shortcode'ów zarejestrowanych na stronie.
- CVE-2026-2263Średnie
Wtyczka Hustle dla WordPress do wersji 7.8.10.2 ma podatność na nieautoryzowaną modyfikację danych przez brak sprawdzenia uprawnień w akcji AJAX 'hustle_module_converted'. Nieuwierzytelnieni atakujący mogą fałszować zdarzenia konwersji dla dowolnego modułu Hustle, w tym modułów w wersji roboczej.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization vulnerability in WPMU DEV Hustle allows Exploiting Incorrectly Configured Access Control Security Levels. This issue affects Hustle: through 7.8.10.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS