CVE-2026-4124
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Wtyczka Ziggeo dla WordPress do wersji 3.1.1 włącznie ma brak autoryzacji w handlerze AJAX wp_ajax_ziggeo_ajax. Sprawdza tylko nonce, ale nie sprawdza uprawnień użytkownika. Nonce jest dostępny dla wszystkich zalogowanych użytkowników. Uwierzytelnieni atakujący (od subskrybenta wzwyż) mogą wykonywać wiele operacji administracyjnych, takich jak zapisywanie dowolnych tłumaczeń, zarządzanie szablonami zdarzeń, modyfikowanie ustawień SDK i zarządzanie powiadomieniami.
Ocena ryzyka
Uwierzytelnieni użytkownicy niskiego poziomu mogą przejąć kontrolę nad konfiguracją wtyczki, co może prowadzić do defacementu lub dalszych ataków.
Rekomendacja
Należy zaktualizować wtyczkę Ziggeo do najnowszej wersji lub zastosować tymczasowe zabezpieczenia (np. usunąć nieużywane konta).
Oryginalny opis (angielski, źródło NVD)
The Ziggeo plugin for WordPress is vulnerable to Missing Authorization in all versions up to, and including, 3.1.1. The wp_ajax_ziggeo_ajax handler only verifies a nonce (check_ajax_referer) but performs no capability checks via current_user_can(). Furthermore, the nonce ('ziggeo_ajax_nonce') is exposed to all logged-in users on every page via the wp_head and admin_head hooks . This makes it possible for authenticated attackers, with Subscriber-level access and above, to invoke multiple administrative operations including: saving arbitrary translation strings (translations_panel_save_strings via update_option('ziggeo_translations')), creating/updating/deleting event templates (event_editor_save_template/update_template/remove_template via update_option('ziggeo_events')), modifying SDK application settings (sdk_applications operations), and managing notifications (notification_handler via update_option('ziggeo_notifications')).