CVE-2026-74930
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka Project Manager dla WordPressa przed wersją 4.0.7 nie sprawdza, czy użytkownik żądający aktywności jest jej właścicielem w jednej z tras API REST. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, odczyt historii aktywności innych użytkowników wraz z ich adresami e-mail oraz szczegółami projektów, do których nie ma dostępu.
Ocena ryzyka
Organizacja narażona jest na wyciek danych osobowych i poufnych informacji o projektach, co może naruszyć prywatność użytkowników i zasady RODO.
Rekomendacja
Zaktualizuj wtyczkę Project Manager do wersji 4.0.7 lub nowszej, która zawiera poprawkę.
Inne podatności w Project Manager WordPress plugin
Zobacz wszystkie- CVE-2026-74929Średnie
Wtyczka Project Manager dla WordPressa przed wersją 4.0.7 nie ogranicza kilku tras API REST do projektów, do których użytkownik należy. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, odczyt treści zadań i adresów e-mail użytkowników z innych projektów oraz modyfikację tablic zadań w innych projektach.
- CVE-2026-74928Wysokie
Wtyczka Project Manager dla WordPressa przed wersją 4.0.7 nie ma żadnej kontroli autoryzacji na swoich trasach importu, co pozwala nieuwierzytelnionym użytkownikom na tworzenie kont WordPress z hasłem znanym atakującemu, omijając ustawienia rejestracji witryny.
Oryginalny opis (angielski, źródło NVD)
The Project Manager WordPress plugin before 4.0.7 does not check that the user whose activity is being requested is the one making the request in one of its REST API routes, allowing any authenticated user, such as a subscriber, to read any other user's activity history along with their email address and the details of projects they have no access to.