CVE-2026-5371
WysokieStreszczenie
Wtyczka MonsterInsights – Google Analytics Dashboard dla WordPressa jest podatna na nieautoryzowany dostęp i modyfikację danych z powodu braku sprawdzenia uprawnień w funkcjach get_ads_access_token() oraz reset_experience(). Atakujący z poziomem dostępu Subskrybenta i wyżej mogą uzyskać dostęp do tokenów OAuth Google oraz zresetować integrację Google Ads wtyczki.
Ocena ryzyka
Podatność ta może prowadzić do nieautoryzowanego dostępu do wrażliwych danych oraz możliwości manipulacji integracją Google Ads, co może skutkować poważnymi konsekwencjami finansowymi i reputacyjnymi dla organizacji.
Rekomendacja
Zaleca się aktualizację wtyczki MonsterInsights do najnowszej wersji, aby usunąć tę podatność oraz przeprowadzenie audytu uprawnień użytkowników w systemie WordPress.
Powiązane podatności
- CVE-2026-124560Krytyczne
W urządzeniu D-Link DIR-878 w wersji 1.20B05 wykryto podatność w funkcji GetCAPTCHAsetting w pliku bin/prog.cgi (komponent HNAP Handler). Manipulacja argumentem uid prowadzi do przepełnienia bufora na stercie. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-119506Krytyczne
Wtyczka Frontend Admin by DynamiApps (acf-frontend-form-element) do wersji 3.30.1 zawiera błąd nieprawidłowego przypisania uprawnień. Luka umożliwia atakującemu eskalację uprawnień w obrębie witryny WordPress.
- CVE-2026-6715Krytyczne
IBM Concert w wersjach 1.0 do 3.0.1.1 pozwala atakującemu dostarczyć spreparowane dane wejściowe, które trafiają do polecenia systemu operacyjnego bez odpowiedniej walidacji lub sanityzacji. Skuteczne wykorzystanie umożliwia zdalnym atakującym wykonanie dowolnych poleceń w systemie operacyjnym z uprawnieniami usługi.
- CVE-2026-17466Krytyczne
IBM Optim w wersjach 1.0.0, 1.1.0 i 1.2.0 jest podatny na atak path traversal, który umożliwia zdalnemu uwierzytelnionemu atakującemu uzyskanie dostępu do poufnych informacji.
- CVE-2026-15266Krytyczne
IBM Concert w wersjach od 1.0 do 3.0.1.1 zawiera komponenty umożliwiające potencjalnie niebezpieczne wykonanie poleceń, co może zostać wykorzystane do uruchomienia dowolnych poleceń systemowych na hoście.
- CVE-2026-114464Krytyczne
IBM Process Mining w wersjach 2.0.0 do 2.2.1 ma nieprawidłową kontrolę dostępu, co może pozwolić zdalnemu atakującemu na uzyskanie dostępu do poufnych informacji.
- CVE-2026-107331Krytyczne
IBM DataStage w Cloud Pak for Data 5.4.0.0 ma podatność typu absolute-path traversal, która może pozwolić zdalnemu uwierzytelnionemu atakującemu na uzyskanie dostępu do poufnych informacji.
- CVE-2026-109900Krytyczne
Wtyczka Melapress Role Editor do WordPressa (do wersji 1.3.0) zawiera błąd nieprawidłowego przypisania uprawnień, który umożliwia eskalację przywilejów. Użytkownik o niskich uprawnieniach może uzyskać wyższy poziom dostępu w systemie.
- CVE-2026-101117Krytyczne
IBM WebSphere Extreme Scale w wersjach od 8.6.1.0 do 8.6.2.2 ma nieprawidłową konfigurację Content Security Policy, co może pozwolić zdalnemu atakującemu na obejście ograniczeń bezpieczeństwa. Luka dotyczy mechanizmów ochronnych przeglądarki.
- CVE-2026-124494Krytyczne
SunEditor w wersji przed 3.4.0 zawiera podatność typu stored XSS, ponieważ funkcja _normalizeURL() w sanitizerze html.clean() dekoduje encje nazwane, takie jak :, do pustego ciągu. Atakujący mogą wstrzyknąć wartości href, np. javascript:, które przechodzą kontrolę _isSafeURL(), ale są dekodowane przez przeglądarki, co prowadzi do wykonania JavaScriptu po kliknięciu zapisanego linku.
Oryginalny opis (angielski, źródło NVD)
The MonsterInsights – Google Analytics Dashboard for WordPress (Website Stats Made Easy) plugin for WordPress is vulnerable to unauthorized access and modification of data due to a missing capability checks on the get_ads_access_token() and reset_experience() functions in all versions up to, and including, 10.1.2. This makes it possible for authenticated attackers, with Subscriber-level access and above, to retrieve live Google OAuth access tokens and reset Plugins's Google Ads integration.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS