CVE-2026-42638
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Brak autoryzacji w Easy Digital Downloads (wtyczka WordPress) pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 3.7.1 włącznie.
Ocena ryzyka
Nieautoryzowani użytkownicy mogą uzyskać dostęp do funkcji administracyjnych lub danych, co może prowadzić do naruszenia integralności i poufności systemu.
Rekomendacja
Zaleca się aktualizację Easy Digital Downloads do najnowszej wersji oraz przegląd konfiguracji kontroli dostępu.
Inne podatności w Easy Digital Downloads
Zobacz wszystkie- CVE-2026-66476Średnie
Wtyczka Easy Digital Downloads do wersji 3.6.9 umożliwia administratorowi dowolne usuwanie plików.
- CVE-2026-59524Średnie
Wtyczka Easy Digital Downloads w wersji 3.6.7 i starszych zawiera podatność na złamanie uwierzytelniania bez wymaganego logowania. Atakujący może uzyskać nieautoryzowany dostęp do funkcji administracyjnych.
- CVE-2026-95522Wysokie
Wtyczka Easy Digital Downloads w wersjach do 3.7.0 włącznie zawiera podatność SQL Injection dostępną dla użytkowników z rolą Shop manager. Umożliwia to wstrzyknięcie złośliwego kodu SQL do zapytań bazy danych.
- CVE-2026-12476Wysokie
Wtyczka Easy Digital Downloads dla WordPress do wersji 3.6.9 umożliwia dowolne przesyłanie plików. Funkcja `edd_do_ajax_import_file_upload()` sprawdza tylko nagłówek Content-Type dostarczony przez klienta, a następnie zapisuje plik z oryginalnym rozszerzeniem do katalogu web-accessible. Uwierzytelnieni atakujący z dostępem Shop Managera mogą przesłać dowolny plik, co może umożliwić zdalne wykonanie kodu.
- CVE-2026-39503Wysokie
Wersje Easy Digital Downloads do 3.6.5 zawierają lukę w kontroli dostępu, która pozwala na nieautoryzowany dostęp do zasobów.
- CVE-2025-11271Średnie
Wtyczka Easy Digital Downloads dla WordPressa w wersjach do 3.5.2 włącznie jest podatna na manipulację zamówieniami z powodu obejścia weryfikacji zamówienia. Gdy w treści żądania POST zostanie przesłany parametr verification_override=1, weryfikacja jest bezwarunkowo pomijana, co pozwala nieuwierzytelnionemu atakującemu przesłać sfałszowane powiadomienie IPN i uznać je za zweryfikowane. Wymagany jest prawidłowy identyfikator transakcji PayPal, co ogranicza manipulację do zamówień złożonych przez atakującego posiadającego konto klienta.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization vulnerability in Awesomemotive Easy Digital Downloads easy-digital-downloads allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects Easy Digital Downloads: from n/a through 3.7.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS