CVE-2026-27355
ŚrednieCVSS 5.3Streszczenie
Wtyczka Ditty dla WordPressa w wersji 3.1.66 i starszych zawiera podatność na złamaną kontrolę dostępu, którą może wykorzystać niezalogowany atakujący.
Ocena ryzyka
Osoba nieuwierzytelniona może uzyskać nieautoryzowany dostęp do funkcji lub danych, co może prowadzić do eskalacji uprawnień lub wycieku informacji.
Rekomendacja
Zaktualizuj wtyczkę Ditty do najnowszej dostępnej wersji.
Inne podatności w Ditty
Zobacz wszystkie- CVE-2026-94461Średnie
Podatność Cross Site Scripting (XSS) w wtyczce Ditty w wersjach do 3.1.69 włącznie. Podatność może być wykorzystana przez użytkownika z uprawnieniami Contributor.
- CVE-2026-93339Średnie
Ditty przed wersją 3.1.70 ma przechowywaną podatność XSS, która pozwala uwierzytelnionym użytkownikom z uprawnieniami Autora lub wyższymi wstrzykiwać dowolne elementy HTML przez złośliwe wartości atrybutów w tagach layoutu. Funkcja renderująca wstawia te wartości bez listy dozwolonych, omijając sanityzację wp_kses_post().
- CVE-2026-81274Średnie
Wtyczka Ditty w wersji 3.1.67 i wcześniejszych ma podatność polegającą na złamanej kontroli dostępu dla subskrybentów. Użytkownik z rolą subskrybenta może uzyskać nieautoryzowany dostęp do funkcji, do których nie powinien mieć uprawnień.
- CVE-2026-9011Wysokie
Podatność w pluginie Ditty dla WordPressa w wersjach do 3.1.65 – brak weryfikacji autoryzacji w punkcie końcowym AJAX ditty_init pozwala nieuwierzytelnionym atakującym na odczyt treści niepublicznych Dittys (w tym szkiców, oczekujących, zaplanowanych i wyłączonych) poprzez enumerację identyfikatorów postów.
- CVE-2025-60105Średnie
Wtyczka Ditty zawiera podatność typu Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Podatność występuje w wersjach od n/a do 3.1.58 włącznie.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Broken Access Control in Ditty <= 3.1.66 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS