CVE-2026-53739

ŚrednieCVSS 4.3

Opublikowano: 10/06/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.10%

Percentyl 1 - wyżej niż 1% wszystkich znanych CVE

Streszczenie

We wtyczce Yoast Duplicate Post do wersji 4.6 wykryto podatność na fałszowanie żądań międzywitrynowych (CSRF) w handlerze duplicate_post_dismiss_notice. Brak weryfikacji nonce lub uprawnień umożliwia atakującemu nakłonienie uwierzytelnionego użytkownika do wysłania żądania, które ustawia opcję duplicate_post_show_notice, tłumiąc powiadomienia administracyjne w całej sieci.

Ocena ryzyka

Atakujący może ukryć ważne powiadomienia administracyjne, co może opóźnić reakcję na inne zagrożenia lub problemy w systemie WordPress.

Rekomendacja

Zaleca się aktualizację wtyczki Yoast Duplicate Post do wersji 4.7 lub nowszej, która zawiera poprawkę eliminującą podatność CSRF.

Inne podatności w Yoast Duplicate Post

CVE-2026-53740Średnie
Yoast Duplicate Post do wersji 4.6 wstawia nieescapowany tytuł posta i permalink do powiadomienia o zaplanowanym ponownym opublikowaniu w edytorze klasycznym. Atakujący mogą zaplanować ponowną publikację kopii z spreparowanym tytułem, aby wykonać skrypt, gdy administrator wyświetli wynikowe powiadomienie.

Oryginalny opis (angielski, źródło NVD)

Yoast Duplicate Post through 4.6 contains a cross-site request forgery vulnerability in the duplicate_post_dismiss_notice handler, which verifies no nonce or capability. Attackers can trick any authenticated user into sending a request that sets the duplicate_post_show_notice site option, suppressing admin notices network-wide.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS