CVE-2026-39504
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wtyczka InstaWP Connect dla WordPressa zawiera brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 0.1.2.5 włącznie.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do funkcji administracyjnych, co może prowadzić do przejęcia kontroli nad witryną.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki InstaWP Connect do najnowszej dostępnej wersji.
Inne podatności w InstaWP Connect
Zobacz wszystkie- CVE-2026-73401Średnie
Podatność polegająca na nieuwierzytelnionym złamaniu kontroli dostępu w wtyczce InstaWP Connect w wersjach do 0.1.3.7.
- CVE-2026-13457Wysokie
Wtyczka InstaWP Connect – 1-click WP Staging & Migration dla WordPressa jest podatna na zdalne wykonanie kodu we wszystkich wersjach do 0.1.3.6 włącznie. Wtyczka przechowuje zaszyfrowany plik opcji jako options-{migrate_key}.txt w katalogu wp-content/instawpbackups/ bez zabezpieczenia przed listowaniem katalogów, co ujawnia 40-znakowy migrate_key na serwerach Apache z włączonym indeksowaniem katalogów. Atakujący może wyprowadzić hasło AES-256-CBC przez SHA256(migrate_key), odszyfrować plik opcji i odzyskać api_signature, co umożliwia nieuwierzytelnionym atakującym uzyskanie danych dostępowych do bazy danych i api_signature. Eksploatacja wymaga hostingu na Apache z włączonym listowaniem katalogów i jest ograniczona czasowo do okresu migracji.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization vulnerability in InstaWP InstaWP Connect instawp-connect allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects InstaWP Connect: from n/a through <= 0.1.2.5.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS