CVE-2026-7620

ŚrednieCVSS 4.3

Opublikowano: 11/07/2026(UTC)Zaktualizowano: 13/07/2026(UTC)Przetłumaczono: 14/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 19 - wyżej niż 19% wszystkich znanych CVE

Streszczenie

Wtyczka Notification for Telegram dla WordPressa do wersji 3.5.1 włącznie zawiera podatność polegającą na pominięciu autoryzacji. Uwierzytelniony atakujący z dostępem na poziomie subskrybenta lub wyższym może tworzyć, modyfikować lub przeplanowywać zdarzenie cron nftb_cron_hook, co umożliwia nieautoryzowaną manipulację logiką harmonogramu zadań w tle.

Ocena ryzyka

Organizacja narażona jest na nieautoryzowane zmiany w harmonogramie zadań wtyczki, co może prowadzić do zakłócenia jej działania, opóźnień w wysyłce powiadomień lub potencjalnego wykorzystania do ataków typu DoS poprzez przeciążenie harmonogramu.

Rekomendacja

Należy natychmiast zaktualizować wtyczkę Notification for Telegram do najnowszej dostępnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest dostępna, tymczasowo wyłącz wtyczkę do czasu wydania poprawki.

Inne podatności w Notification for Telegram

CVE-2026-40732Wysokie
W wersjach Notification for Telegram <= 3.5 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.

Oryginalny opis (angielski, źródło NVD)

The Notification for Telegram plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 3.5.1. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with subscriber-level access and above, to create, modify, or reschedule the nftb_cron_hook WordPress cron event, enabling unauthorized manipulation of the plugin's background task scheduling logic.