CVE-2026-61968
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Wtyczka myCred dla WordPressa zawiera lukę braku autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Luka dotyczy wersji do 3.1.2 włącznie.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do nieautoryzowanego dostępu do funkcji lub danych, co może prowadzić do eskalacji uprawnień lub naruszenia integralności systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki myCred do najnowszej dostępnej wersji, która usuwa tę lukę. Należy również przejrzeć i skorygować konfigurację kontroli dostępu.
Inne podatności w myCred
Zobacz wszystkie- CVE-2026-15150Średnie
Wtyczka myCred dla WordPressa przed wersją 3.2.5 nie weryfikuje, czy odbiorca przychodzącego powiadomienia z bramki płatniczej odpowiada skonfigurowanemu kontu handlowemu witryny, co pozwala nieuwierzytelnionym atakującym na zasilenie dowolnej ilości waluty wewnętrznej witryny na konto poprzez dokonanie płatności za oczekiwaną kwotę na kontrolowane przez siebie konto bramki, a nie na konto witryny.
- CVE-2026-40794Średnie
Wersje myCred do 3.0.3 mają lukę w kontroli dostępu, co pozwala na nieautoryzowany dostęp do zasobów subskrybenta.
- CVE-2026-42676Średnie
Wtyczka myCred jest podatna na przechowywany atak Cross-Site Scripting (XSS) we wszystkich wersjach do 3.0.4 włącznie. Brak odpowiedniej neutralizacji danych wejściowych podczas generowania strony umożliwia atakującym wstrzyknięcie złośliwego skryptu, który jest następnie wykonywany w przeglądarkach innych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization vulnerability in Saad Iqbal myCred mycred allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects myCred: from n/a through <= 3.1.2.