CVE-2026-4299
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
Brak autoryzacji w pluginie MainWP Child Reports dla WordPressa (do wersji 2.2.6). Uwierzytelnieni atakujący z dostępem Subscriber mogą uzyskać wpisy dziennika aktywności (w tym podsumowania działań, dane użytkownika, adresy IP) poprzez Heartbeat API.
Ocena ryzyka
Ujawnienie poufnych danych operacyjnych i informacji o użytkownikach, co może ułatwić dalsze ataki.
Rekomendacja
Zaktualizuj plugin MainWP Child Reports do najnowszej wersji.
Oryginalny opis (angielski, źródło NVD)
The MainWP Child Reports plugin for WordPress is vulnerable to Missing Authorization in all versions up to and including 2.2.6. This is due to a missing capability check in the heartbeat_received() function in the Live_Update class. This makes it possible for authenticated attackers, with Subscriber-level access and above, to obtain MainWP Child Reports activity log entries (including action summaries, user information, IP addresses, and contextual data) via the WordPress Heartbeat API by sending a crafted heartbeat request with the 'wp-mainwp-stream-heartbeat' data key.