CVE-2026-2688

ŚrednieCVSS 6.5

Opublikowano: 02/09/2026(UTC)Zaktualizowano: 03/09/2026(UTC)Przetłumaczono: 02/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

Wtyczka HIPAA FORMS dla WordPressa przed wersją 3.2.0 zawiera zakodowany na stałe bypass autoryzacji poprzez zakodowany parametr używany we wszystkich żądaniach AJAX. Serwer jawnie sprawdza tę wartość, aby całkowicie pominąć weryfikację nonce. Pozwala to nieuwierzytelnionym atakującym uzyskać dostęp do chronionych punktów końcowych AJAX.

Ocena ryzyka

Ryzyko obejmuje nieautoryzowany dostęp do funkcji administracyjnych i wrażliwych danych, co może prowadzić do naruszenia poufności i integralności systemu.

Rekomendacja

Zaleca się aktualizację wtyczki HIPAA FORMS do wersji 3.2.0 lub nowszej, która usuwa zakodowany parametr i wymusza weryfikację nonce.

Inne podatności w HIPAA FORMS

CVE-2026-109927Wysokie
Wtyczka HIPAA Forms do WordPressa przed wersją 3.3.2 nie wykonuje sprawdzenia uprawnień podczas obsługi żądania odbudowującego własną niestandardową rolę użytkownika, co pozwala użytkownikowi posiadającemu już tę rolę nadać jej uprawnienia na poziomie administratora i eskalować swoje uprawnienia.

Oryginalny opis (angielski, źródło NVD)

The HIPAA FORMS WordPress plugin before 3.2.0 contains a hardcoded authentication bypass via a hardcoded parameter alongside all AJAX requests. The server explicitly checks for this value to skip nonce validation entirely. This allows unauthenticated attackers to access protected AJAX endpoints.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS