CVE-2026-77116
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Wtyczka Brave Popup Builder do wersji 0.8.5 ma problem z uszkodzoną kontrolą dostępu. Każdy zalogowany użytkownik, nawet Subscriber lub WooCommerce Customer, może odczytać treść popupów, do których nie powinien mieć dostępu, podając ID posta w URL.
Ocena ryzyka
Zalogowani użytkownicy o niskich uprawnieniach mogą uzyskać dostęp do treści popupów, które mogą zawierać poufne informacje lub być przeznaczone tylko dla wybranych grup.
Rekomendacja
Zaktualizuj wtyczkę Brave Popup Builder do wersji nowszej niż 0.8.5, która naprawia problem z kontrolą dostępu.
Inne podatności w Brave Popup Builder
Zobacz wszystkie- CVE-2026-48202Średnie
Wtyczka brave-popup-builder dla WordPressa (Brave) do wersji 0.8.8 zawiera podatność typu Basic XSS wynikającą z niewłaściwej neutralizacji tagów HTML powiązanych ze skryptami. Umożliwia to wstrzyknięcie kodu do strony.
- CVE-2026-77115Wysokie
Wtyczka Brave Popup Builder do wersji 0.8.5 odzwierciedla parametry zapytania UTM w HTML formularza popup bez ich odpowiedniego escapowania, co może prowadzić do ataków typu Reflected XSS.
Oryginalny opis (angielski, źródło NVD)
Brave Popup Builder (slug: brave-popup-builder) has a broken access control issue in versions through 0.8.5. Any logged-in user - Subscriber or WooCommerce Customer is enough — can read popup content they shouldn't have access to by passing a post ID in the URL.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS