CVE-2026-54768

ŚrednieCVSS 6.9

Opublikowano: 31/07/2026(UTC)Zaktualizowano: 03/08/2026(UTC)Przetłumaczono: 01/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.28%

Percentyl 20 - wyżej niż 20% wszystkich znanych CVE

Streszczenie

Wtyczka WPGraphQL dla WordPress w wersjach od 2.0.0 do 2.15.1 zawiera podatność. Przestarzałe pole user w SendPasswordResetEmailPayload pozwala nieuwierzytelnionemu atakującemu odróżnić istniejące konta autorskie poprzez mutację sendPasswordResetEmail i uzyskać publiczne pola profilu.

Ocena ryzyka

Atakujący może enumerować konta użytkowników i uzyskać publiczne dane profilowe, co może być wykorzystane do dalszych ataków socjotechnicznych.

Rekomendacja

Należy zaktualizować wtyczkę WPGraphQL do wersji 2.15.1 lub nowszej.

Inne podatności w WPGraphQL

CVE-2026-40762Wysokie
W WPGraphQL w wersjach poniżej 2.11.1 występuje podatność na nieautoryzowany atak SQL Injection.

Oryginalny opis (angielski, źródło NVD)

WPGraphQL provides a GraphQL API for WordPress sites. From 2.0.0 until 2.15.1, the deprecated user field on SendPasswordResetEmailPayload lets an unauthenticated caller distinguish existing author-class accounts through the sendPasswordResetEmail mutation and obtain public profile fields. This issue is fixed in version 2.15.1.