CVE-2026-73383
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Wtyczka CTX Feed w wersji 6.6.47 i starszych ma podatność na dowolne pobieranie plików przez użytkownika z rolą Shop manager. Oznacza to, że menedżer sklepu może pobierać dowolne pliki z serwera, do których nie powinien mieć dostępu.
Ocena ryzyka
Ryzyko polega na tym, że użytkownik z uprawnieniami menedżera sklepu może pobrać wrażliwe pliki, takie jak pliki konfiguracyjne lub dane, co może prowadzić do naruszenia poufności.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do najnowszej wersji, która zawiera poprawkę tej luki.
Inne podatności w CTX Feed
Zobacz wszystkie- CVE-2026-66709Krytyczne
Wtyczka CTX Feed w wersjach do 6.6.42 zawiera podatność na zdalne wykonanie kodu (RCE) przez menedżera sklepu. Atakujący z uprawnieniami menedżera sklepu może wykorzystać tę podatność do wykonania dowolnego kodu na serwerze.
- CVE-2026-15095Średnie
Wtyczka Product Feed Manager for WooCommerce – CTX Feed dla WordPress jest podatna na Directory Traversal we wszystkich wersjach do 6.6.43 włącznie poprzez parametr 'provider'. Uwierzytelniony atakujący z poziomem dostępu shop manager lub wyższym może usuwać dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu po usunięciu krytycznych plików. Wykorzystanie wymaga dwóch sekwencyjnych wywołań REST API.
- CVE-2026-39434Wysokie
W wersjach CTX Feed do 6.6.26 występuje podatność na wstrzykiwanie obiektów PHP w menedżerze sklepu.
Oryginalny opis (angielski, źródło NVD)
Shop manager Arbitrary File Download in CTX Feed <= 6.6.47 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS