CVE-2026-73401
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Podatność polegająca na nieuwierzytelnionym złamaniu kontroli dostępu w wtyczce InstaWP Connect w wersjach do 0.1.3.7.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego dostępu do funkcji administracyjnych lub danych, co może prowadzić do naruszenia integralności i poufności systemu.
Rekomendacja
Zaleca się aktualizację wtyczki InstaWP Connect do wersji nowszej niż 0.1.3.7, która zawiera poprawkę tej podatności.
Inne podatności w InstaWP Connect
Zobacz wszystkie- CVE-2026-13457Wysokie
Wtyczka InstaWP Connect – 1-click WP Staging & Migration dla WordPressa jest podatna na zdalne wykonanie kodu we wszystkich wersjach do 0.1.3.6 włącznie. Wtyczka przechowuje zaszyfrowany plik opcji jako options-{migrate_key}.txt w katalogu wp-content/instawpbackups/ bez zabezpieczenia przed listowaniem katalogów, co ujawnia 40-znakowy migrate_key na serwerach Apache z włączonym indeksowaniem katalogów. Atakujący może wyprowadzić hasło AES-256-CBC przez SHA256(migrate_key), odszyfrować plik opcji i odzyskać api_signature, co umożliwia nieuwierzytelnionym atakującym uzyskanie danych dostępowych do bazy danych i api_signature. Eksploatacja wymaga hostingu na Apache z włączonym listowaniem katalogów i jest ograniczona czasowo do okresu migracji.
- CVE-2026-39504Średnie
Wtyczka InstaWP Connect dla WordPressa zawiera brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 0.1.2.5 włącznie.
- CVE-2025-66068Średnie
Wtyczka InstaWP Connect zawiera lukę w autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 0.1.1.9 włącznie.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Broken Access Control in InstaWP Connect <= 0.1.3.7 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS