CVE-2026-76057
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka AutomatorWP dla WordPressa do wersji 5.8.4 włącznie jest podatna na obejście autoryzacji z powodu niewłaściwego weryfikowania uprawnień użytkownika. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta lub wyższym mogą pobrać wszystkie dane formularzy ConvertKit skonfigurowane przez menedżera witryny, ujawniając szczegóły integracji przeznaczone tylko dla menedżerów.
Ocena ryzyka
Ujawnienie danych integracji może umożliwić atakującym manipulację formularzami lub kradzież danych subskrybentów.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji, która eliminuje tę podatność.
Inne podatności w AutomatorWP
Zobacz wszystkie- CVE-2026-78266Średnie
Wtyczka AutomatorWP w wersjach do 5.8.3 ma podatność polegającą na złamanej kontroli dostępu dla subskrybentów (Broken Access Control). Oznacza to, że użytkownik o roli subskrybenta może uzyskać nieautoryzowany dostęp do funkcji, do których nie powinien mieć uprawnień.
- CVE-2026-76074Średnie
Wtyczka AutomatorWP dla WordPressa do wersji 5.8.4 włącznie jest podatna na obejście autoryzacji z powodu niewłaściwego weryfikowania uprawnień użytkownika. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta lub wyższym mogą pobrać katalog list mailingowych Campaign Monitor, w tym identyfikatory i nazwy list, które powinny być dostępne tylko dla menedżerów.
- CVE-2026-42775Wysokie
W wersjach AutomatorWP do 5.7.2 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.
- CVE-2026-42650Wysokie
W wersjach AutomatorWP do 5.6.7 występuje podatność na nieautoryzowany atak Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.
- CVE-2026-40785Wysokie
Wersje AutomatorWP do 5.6.7 mają lukę w autoryzacji subskrybenta, co może prowadzić do nieautoryzowanego dostępu.
Oryginalny opis (angielski, źródło NVD)
The AutomatorWP – Automator plugin for no-code automations, webhooks & custom integrations in WordPress plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 5.8.4. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with subscriber-level access and above, to retrieve all ConvertKit form data configured by the site's manager account, exposing integration details intended to be restricted to plugin managers. The required nonce is localized on every admin page load, making it accessible to any authenticated user who can reach /wp-admin.