CVE-2026-7622
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka ThumbPress dla WordPressa w wersjach do 6.2.1 włącznie jest podatna na nieautoryzowany dostęp z powodu braku sprawdzania uprawnień i weryfikacji nonce w funkcji send_deactivation_survey(). Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może dezaktywować wtyczkę ThumbPress, wysyłając spreparowane żądanie POST do admin-ajax.
Ocena ryzyka
Atakujący może wyłączyć wtyczkę ThumbPress, co może prowadzić do utraty funkcjonalności strony, np. problemów z wyświetlaniem miniatur.
Rekomendacja
Zaktualizuj wtyczkę ThumbPress do wersji nowszej niż 6.2.1, gdy tylko będzie dostępna.
Inne podatności w ThumbPress
Zobacz wszystkie- CVE-2026-32549Wysokie
ThumbPress w wersjach starszych niż 6.5 zawiera podatność Broken Access Control bez uwierzytelnienia. Niezalogowani użytkownicy mogą wykonywać operacje, do których nie mają uprawnień.
- CVE-2026-13432Średnie
Wtyczka ThumbPress dla WordPressa przed wersją 6.2.2 nie sprawdza uprawnień w jednej z akcji AJAX, co pozwala uwierzytelnionym użytkownikom z dostępem na poziomie subskrybenta lub wyższym na dezaktywację wtyczki, zakłócając działanie funkcji obsługi obrazów na stronie.
- CVE-2026-57720Średnie
Wtyczka ThumbPress dla WordPressa zawiera lukę braku autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu. Podatność dotyczy wszystkich wersji od n/a do 6.3.2 włącznie.
Oryginalny opis (angielski, źródło NVD)
The ThumbPress plugin for WordPress is vulnerable to unauthorized access in versions up to and including 6.2.1. This is due to missing capability checks and nonce verification in the send_deactivation_survey() function registered via the wp_ajax_pl-plugin-deactivation AJAX action. This makes it possible for authenticated attackers, with Subscriber-level access and above, to deactivate the ThumbPress plugin on the affected site by sending a crafted POST request to admin-ajax.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS