CVE-2026-40785
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Wersje AutomatorWP do 5.6.7 mają lukę w autoryzacji subskrybenta, co może prowadzić do nieautoryzowanego dostępu.
Ocena ryzyka
Organizacje mogą być narażone na nieautoryzowane działania użytkowników, co może prowadzić do utraty danych lub naruszenia prywatności.
Rekomendacja
Zaleca się aktualizację AutomatorWP do najnowszej wersji, aby usunąć tę podatność.
Inne podatności w AutomatorWP
Zobacz wszystkie- CVE-2026-78266Średnie
Wtyczka AutomatorWP w wersjach do 5.8.3 ma podatność polegającą na złamanej kontroli dostępu dla subskrybentów (Broken Access Control). Oznacza to, że użytkownik o roli subskrybenta może uzyskać nieautoryzowany dostęp do funkcji, do których nie powinien mieć uprawnień.
- CVE-2026-76074Średnie
Wtyczka AutomatorWP dla WordPressa do wersji 5.8.4 włącznie jest podatna na obejście autoryzacji z powodu niewłaściwego weryfikowania uprawnień użytkownika. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta lub wyższym mogą pobrać katalog list mailingowych Campaign Monitor, w tym identyfikatory i nazwy list, które powinny być dostępne tylko dla menedżerów.
- CVE-2026-76057Średnie
Wtyczka AutomatorWP dla WordPressa do wersji 5.8.4 włącznie jest podatna na obejście autoryzacji z powodu niewłaściwego weryfikowania uprawnień użytkownika. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta lub wyższym mogą pobrać wszystkie dane formularzy ConvertKit skonfigurowane przez menedżera witryny, ujawniając szczegóły integracji przeznaczone tylko dla menedżerów.
- CVE-2026-42775Wysokie
W wersjach AutomatorWP do 5.7.2 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.
- CVE-2026-42650Wysokie
W wersjach AutomatorWP do 5.6.7 występuje podatność na nieautoryzowany atak Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.
Oryginalny opis (angielski, źródło NVD)
Subscriber Broken Authentication in AutomatorWP <= 5.6.7 versions.