CVE-2026-57339
ŚrednieCVSS 6.5Streszczenie
Wtyczka Business Directory w wersji 6.4.23 i starszych zawiera lukę umożliwiającą nieuwierzytelnionym atakującym ominięcie kontroli dostępu. Podatność ta pozwala na nieautoryzowany dostęp do funkcji administracyjnych bez wymaganego uwierzytelnienia.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia kontroli nad katalogiem firm przez nieuwierzytelnionego atakującego, co może prowadzić do modyfikacji, usunięcia lub kradzieży danych biznesowych oraz naruszenia integralności strony.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Business Directory do najnowszej dostępnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest możliwa, należy tymczasowo wyłączyć wtyczkę do czasu wdrożenia poprawki.
Inne podatności w Business Directory
Zobacz wszystkie- CVE-2026-62097Wysokie
Wtyczka Business Directory (business-directory-plugin) w systemie WPTasty zawiera podatność na ślepą iniekcję SQL (Blind SQL Injection) spowodowaną niewłaściwą neutralizacją specjalnych elementów w poleceniu SQL. Problem dotyczy wersji od n/a do 6.4.27.
- CVE-2026-94173Średnie
Wtyczka Business Directory w wersji 6.4.27 i wcześniejszych zawiera podatność na niebezpieczne bezpośrednie odwołania do obiektów (IDOR) z poziomu kontrybutora. Umożliwia to nieautoryzowany dostęp do zasobów.
- CVE-2026-57328Średnie
Wtyczka Business Directory w wersji 6.4.22 i starszych zawiera podatność na atak XSS (Cross Site Scripting) z poziomu subskrybenta. Umożliwia ona wstrzyknięcie złośliwego kodu JavaScript przez uwierzytelnionego użytkownika o roli subskrybenta.
- CVE-2026-57326Średnie
Wtyczka Business Directory w wersji 6.4.22 i starszych zawiera podatność na nieuwierzytelniony atak typu Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy kod JavaScript bez konieczności logowania.
- CVE-2026-84769Średnie
Wtyczka Business Directory w wersji 6.4.26 i wcześniejszych zawiera podatność na nieuwierzytelnione niebezpieczne bezpośrednie odwołania do obiektów (IDOR).
- CVE-2026-84758Średnie
Wtyczka Business Directory w wersjach do 6.4.26 zawiera podatność na złamanie kontroli dostępu bez uwierzytelnienia. Osoba atakująca może wykorzystać ten błąd do nieautoryzowanego dostępu do funkcji, które powinny być chronione.
- CVE-2026-28004Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Business Directory w wersjach do 6.4.25. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.
- CVE-2026-61959Średnie
Podatność Cross Site Scripting (XSS) w wtyczce Business Directory w wersjach do 6.4.24 pozwala użytkownikowi z rolą Subscriber na wstrzyknięcie złośliwego skryptu.
- CVE-2025-67596Średnie
Wtyczka Business Directory dla WordPressa (wersje do 6.4.19 włącznie) zawiera podatność na Cross-Site Request Forgery (CSRF). Umożliwia ona atakującemu wymuszenie wykonania niepożądanych działań przez administratora.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Broken Access Control in Business Directory <= 6.4.23 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS