CVE-2026-57630
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka Blocksy Companion Pro w wersji 2.1.46 i starszych zawiera podatność na nieuwierzytelnione, niebezpieczne bezpośrednie odwołania do obiektów (IDOR). Umożliwia to atakującemu bez logowania dostęp do zasobów, które powinny być chronione.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego odczytu lub modyfikacji danych wrażliwych, co może prowadzić do wycieku informacji lub naruszenia integralności systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Blocksy Companion Pro do wersji nowszej niż 2.1.46, która usuwa tę podatność.
Inne podatności w Blocksy Companion Pro <= 2.1.46
Zobacz wszystkie- CVE-2026-58480Krytyczne
Wtyczka Blocksy Companion Pro dla WordPressa przed wersją 2.1.47 zawiera nieuwierzytelnioną podatność na dowolne przesyłanie plików, umożliwiającą atakującym wgrywanie plików wykonywalnych poprzez ominięcie walidacji rozszerzeń w funkcji save_attachments udostępnionej przez funkcję Advanced Reviews. Atakujący mogą wykorzystać wadliwe sprawdzanie podciągów strpos() w rozszerzeniu Custom Fonts, przesyłając pliki z podwójnym rozszerzeniem, np. shell.woff2.php, co powoduje przejście walidacji na podstawie dopasowania podciągu, podczas gdy serwer WWW wykonuje plik jako PHP, umożliwiając zdalne wykonanie kodu.
- CVE-2026-57624Krytyczne
Wtyczka Blocksy Companion Pro w wersji 2.1.46 i starszych zawiera krytyczną podatność umożliwiającą nieuwierzytelnionemu atakującemu zdalne wykonanie kodu (RCE). Podatność ta wynika z braku odpowiedniego uwierzytelnienia w jednym z endpointów API.
- CVE-2026-40783Krytyczne
W wersjach Blocksy Companion Pro do 2.1.37 występuje podatność umożliwiająca zdalne wykonanie kodu (RCE) przez nieautoryzowanych użytkowników.
- CVE-2026-39596Krytyczne
W wersjach Blocksy Companion Pro poniżej 2.1.29 występuje nieautoryzowana podatność na wstrzykiwanie SQL.
- CVE-2026-57315Wysokie
Podatność umożliwia zdalne wykonanie kodu (RCE) wtyczki Blocksy Companion Pro w wersjach do 2.1.45. Atakujący może wykorzystać tę lukę do przejęcia kontroli nad serwerem.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Insecure Direct Object References (IDOR) in Blocksy Companion Pro <= 2.1.46 versions.