CVE-2026-42650
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
W wersjach AutomatorWP do 5.6.7 występuje podatność na nieautoryzowany atak Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.
Ocena ryzyka
Podatność ta może prowadzić do kradzieży danych użytkowników oraz przejęcia sesji, co stanowi poważne zagrożenie dla bezpieczeństwa aplikacji i danych organizacji.
Rekomendacja
Zaleca się aktualizację AutomatorWP do najnowszej wersji, aby usunąć tę podatność oraz przeprowadzenie audytu bezpieczeństwa aplikacji.
Inne podatności w AutomatorWP
Zobacz wszystkie- CVE-2026-78266Średnie
Wtyczka AutomatorWP w wersjach do 5.8.3 ma podatność polegającą na złamanej kontroli dostępu dla subskrybentów (Broken Access Control). Oznacza to, że użytkownik o roli subskrybenta może uzyskać nieautoryzowany dostęp do funkcji, do których nie powinien mieć uprawnień.
- CVE-2026-76074Średnie
Wtyczka AutomatorWP dla WordPressa do wersji 5.8.4 włącznie jest podatna na obejście autoryzacji z powodu niewłaściwego weryfikowania uprawnień użytkownika. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta lub wyższym mogą pobrać katalog list mailingowych Campaign Monitor, w tym identyfikatory i nazwy list, które powinny być dostępne tylko dla menedżerów.
- CVE-2026-76057Średnie
Wtyczka AutomatorWP dla WordPressa do wersji 5.8.4 włącznie jest podatna na obejście autoryzacji z powodu niewłaściwego weryfikowania uprawnień użytkownika. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta lub wyższym mogą pobrać wszystkie dane formularzy ConvertKit skonfigurowane przez menedżera witryny, ujawniając szczegóły integracji przeznaczone tylko dla menedżerów.
- CVE-2026-42775Wysokie
W wersjach AutomatorWP do 5.7.2 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.
- CVE-2026-40785Wysokie
Wersje AutomatorWP do 5.6.7 mają lukę w autoryzacji subskrybenta, co może prowadzić do nieautoryzowanego dostępu.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Cross Site Scripting (XSS) in AutomatorWP <= 5.6.7 versions.