CVE-2026-42719
KrytyczneCVSS 9.8Streszczenie
Wtyczka Dynamic User Directory w wersjach do 2.4 włącznie zawiera podatność typu PHP Object Injection, którą może wykorzystać użytkownik z rolą Subscriber. Wymagane jest jedynie niskouprawnione konto.
Ocena ryzyka
Atakujący z podstawowym kontem może wstrzyknąć złośliwy obiekt PHP, co potencjalnie prowadzi do wykonania kodu lub ujawnienia danych. Może to skutkować przejęciem kontroli nad witryną.
Rekomendacja
Zaktualizuj wtyczkę Dynamic User Directory do wersji nowszej niż 2.4. Do czasu aktualizacji ogranicz rejestrację subskrybentów.
Inne podatności w Dynamic User Directory
Zobacz wszystkie- CVE-2026-42720Wysokie
Wtyczka Dynamic User Directory autorstwa Sarah Giles zawiera podatność SQL Injection (ślepą), wynikającą z niewłaściwego neutralizowania specjalnych elementów w poleceniu SQL. Problem dotyczy wersji do 2.4 włącznie.
- CVE-2025-62982Średnie
Wtyczka Dynamic User Directory (dynamic-user-directory) zawiera podatność typu Cross-site Scripting (niewłaściwa neutralizacja danych wejściowych podczas generowania stron), umożliwiającą trwałe XSS. Problem dotyczy wersji od n/a do <= 2.3.
Oryginalny opis (angielski, źródło NVD)
Subscriber PHP Object Injection in Dynamic User Directory <= 2.4 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS