CVE-2026-42679
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Podatność na Path Traversal we wtyczce Classified Listing (WordPress) do wersji 5.3.8. Umożliwia atakującemu dostęp do plików poza dozwolonym katalogiem.
Ocena ryzyka
Atakujący może odczytać lub zapisać pliki poza katalogiem głównym, co może prowadzić do wycieku danych lub przejęcia kontroli nad serwerem.
Rekomendacja
Zaleca się aktualizację wtyczki Classified Listing do najnowszej dostępnej wersji.
Inne podatności w Classified Listing
Zobacz wszystkie- CVE-2026-57355Średnie
Wtyczka Classified Listing dla WordPressa w wersji 5.4.2 i starszych zawiera podatność polegającą na złamaniu kontroli dostępu przez subskrybenta. Umożliwia to użytkownikom z rolą subskrybenta wykonywanie nieautoryzowanych operacji.
- CVE-2026-57344Wysokie
Wtyczka Classified Listing dla WordPressa w wersji 5.4.2 i starszych zawiera podatność na nieuwierzytelniony atak typu Cross Site Scripting (XSS). Oznacza to, że atakujący może wstrzyknąć złośliwy kod JavaScript bez konieczności logowania.
- CVE-2026-16276Niskie
Wtyczka WordPress 'Classified Listing' przed wersją 5.4.4 nie przeprowadza kontroli uprawnień w akcji AJAX, która zwraca zagregowane sumy przychodów sklepu, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na odczytywanie dziennych danych przychodów normalnie zarezerwowanych dla administratorów i menedżerów raportów.
- CVE-2026-16274Niskie
Wtyczka WordPress 'Classified Listing' przed wersją 5.4.4 nie przeprowadza kontroli uprawnień ani własności w akcji AJAX, która zwraca treść posta, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na odczytywanie treści dowolnego posta, strony lub niestandardowego typu posta na stronie — w tym szkiców, oczekujących i prywatnych postów należących do innych użytkowników — niezależnie od własności.
- CVE-2026-14183Średnie
Podatność we wtyczce Classified Listing do WordPressa (przed wersją 5.3.9). Umożliwia uwierzytelnionym użytkownikom z dostępem na poziomie subskrybenta odczytanie szczegółów potwierdzenia płatności zamówień innych użytkowników, ponieważ wtyczka nie weryfikuje, czy zamówienie należy do żądającego użytkownika.
- CVE-2026-42658Wysokie
W wersjach Classified Listing do 5.3.8 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.
- CVE-2026-42651Średnie
Wersje Classified Listing do 5.3.9 mają lukę w kontroli dostępu, która może umożliwić nieautoryzowanym subskrybentom dostęp do zasobów.
- CVE-2026-42640Średnie
Wersje Classified Listing do 5.3.8 mają lukę w kontroli dostępu, która pozwala na nieautoryzowany dostęp.
Oryginalny opis (angielski, źródło NVD)
Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') vulnerability in Mamunur Rashid Classified Listing allows Path Traversal. This issue affects Classified Listing: from n/a through 5.3.8.