CVE-2026-77183
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Wtyczka FooSales dla WordPressa jest podatna na eskalację uprawnień poprzez przejęcie konta w wersjach do 1.43.0 włącznie. Wtyczka nie weryfikuje poprawnie tożsamości użytkownika przed aktualizacją jego danych, co pozwala uwierzytelnionym atakującym z dostępem na poziomie kasjera i wyższym na zmianę adresów email innych użytkowników, w tym administratorów, a następnie zresetowanie hasła i przejęcie konta.
Ocena ryzyka
Ryzyko obejmuje przejęcie kont administratorów, co może prowadzić do pełnej kontroli nad witryną, w tym kradzieży danych i instalacji złośliwego oprogramowania.
Rekomendacja
Zaleca się aktualizację wtyczki FooSales do najnowszej wersji. Należy również wzmocnić walidację tożsamości przed zmianą danych użytkownika.
Powiązane podatności
- CVE-2026-54630Krytyczne
W Part-DB przed wersją 2.12.1 mechanizm blokowania niebezpiecznych rozszerzeń przy przesyłaniu załączników nie obejmuje rozszerzenia .phar. Plik .phar przesłany jako załącznik trafia do katalogu public/media/, który jest dokument root Apache, a konfiguracja Apache kieruje .phar do PHP-FPM, co pozwala na wykonanie dowolnego kodu PHP.
- CVE-2026-115547Krytyczne
W konsoli administracyjnej Okta Access Gateway (OAG) występuje problem walidacji danych wejściowych pozwalający na przetwarzanie specjalnie sformatowanych wartości konfiguracyjnych. Uwierzytelniony administrator może wykorzystać tę lukę do wykonania poleceń systemowych w kontekście konta usługi OAG.
- CVE-2026-19677Krytyczne
W publicznym formularzu rejestracyjnym onPhase/frevvo w wersji 11.0.14 występuje obejście uwierzytelniania. Nieuwierzytelniony zdalny atakujący może uwierzytelnić się jako dowolny użytkownik tenanta, uzyskać uprawnienia TenantAdmin i Designer oraz wykonać dowolne polecenia systemu operacyjnego poprzez manipulację parametrami rejestracji.
- CVE-2026-110243Krytyczne
Usługa zarządzania siecią w firmware enkodera Kiloview E3 NDI nie waliduje nazwy interfejsu sieciowego przyjmowanej przez endpoint konfiguracji adresu utrzymania łącza przed przekazaniem jej do polecenia powłoki. Uwierzytelniony użytkownik webowy z uprawnieniami do konfiguracji sieci może wykorzystać tę lukę do wykonania dowolnych poleceń systemu operacyjnego jako root.
- CVE-2026-107861Krytyczne
Usługa sterowania systemem w firmware enkodera Kiloview E3 NDI nie sanityzuje parametru hostname przyjmowanego przez endpoint nazewnictwa urządzenia i przekazuje go bez cudzysłowów do polecenia powłoki. Uwierzytelniony użytkownik webowy z dostępem do tej funkcji może wstawić znaki specjalne i wykonać dowolne polecenia systemu operacyjnego jako root, co prowadzi do pełnego przejęcia urządzenia.
- CVE-2026-97785Krytyczne
Występuje nieprawidłowa weryfikacja uwierzytelniania w usłudze AAD App Proxy. Nieuwierzytelniony atakujący może wykorzystać tę lukę do podniesienia uprawnień w sieci.
- CVE-2026-83938Krytyczne
Brak uwierzytelniania dla krytycznej funkcji w usłudze Azure Kubernetes Configuration Service. Nieuwierzytelniony atakujący może podnieść uprawnienia w sieci.
- CVE-2026-110063Krytyczne
Występuje nieprawidłowe rozwiązywanie dowiązań przed dostępem do pliku (podążanie za dowiązaniem) w VM Inspector dla Azure Virtual Machines. Nieuwierzytelniony atakujący może podnieść uprawnienia w sieci.
- CVE-2026-109122Krytyczne
Usługa zarządzania siecią w oprogramowaniu Kiloview E3 NDI encoder nie oczyszcza jednego pola używanego podczas konfiguracji tras statycznych przez API zarządzania webowego. Uwierzytelniony użytkownik webowy z uprawnieniami do konfiguracji tras statycznych może wykonać dowolne polecenia systemu operacyjnego jako root, a złośliwa konfiguracja przetrwa ponowne uruchomienia.
- CVE-2026-105014Krytyczne
Występuje nieprawidłowa neutralizacja znaków specjalnych używanych w poleceniu (wstrzyknięcie poleceń) w Azure Pipelines. Nieuwierzytelniony atakujący może wykonać kod w sieci.
Oryginalny opis (angielski, źródło NVD)
The FooSales – Point of Sale (POS) for WooCommerce plugin for WordPress is vulnerable to privilege escalation via account takeover in all versions up to, and including, 1.43.0. This is due to the plugin not properly validating a user's identity prior to updating their details like email. This makes it possible for authenticated attackers, with FooSales Cashier-level access and above, to change arbitrary user's email addresses, including administrators, and leverage that to reset the user's password and gain access to their account.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS