CVE-2026-77764
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka GamiPress WordPress przed wersją 7.9.9.6 nie ogranicza prawidłowo funkcji śledzenia oglądania wideo. Umożliwia to użytkownikom z rolą tak niską jak Subskrybent przyznawanie skonfigurowanych punktów gamifikacji, osiągnięć i rang dowolnym użytkownikom, w tym administratorom, oraz gromadzenie ich bez ograniczeń.
Ocena ryzyka
Ryzyko polega na możliwości manipulacji systemem gamifikacji, co może prowadzić do nieuczciwego przyznawania nagród, eskalacji uprawnień lub zakłócenia integralności systemu.
Rekomendacja
Zaleca się aktualizację wtyczki GamiPress do wersji 7.9.9.6 lub nowszej, która naprawia ograniczenia funkcji śledzenia wideo.
Inne podatności w GamiPress WordPress Plugin
Zobacz wszystkie- CVE-2026-107320Nieznane
Wtyczka GamiPress dla WordPressa przed wersją 8.0.6 nie autoryzuje poprawnie dostępu do prywatnych wpisów dziennika aktywności, co pozwala nieuwierzytelnionym użytkownikom na pobieranie prywatnych dzienników aktywności wszystkich użytkowników. Jest to niepełna poprawka CVE-2026-13450.
- CVE-2026-107319Nieznane
Wtyczka WordPress GamiPress przed wersją 8.0.6 nie sprawdza uprawnień ani własności w jednej z uwierzytelnionych akcji AJAX. Pozwala to każdemu zalogowanemu użytkownikowi, np. Subskrybentowi, odczytać dowolne wpisy z dziennika aktywności, w tym salda punktów i osiągnięcia innych użytkowników oraz nazwy administratorów wykonujących ręczne operacje na punktach.
Oryginalny opis (angielski, źródło NVD)
The GamiPress WordPress plugin before 7.9.9.6 does not properly restrict its video watch-tracking functionality, allowing users with a role as low as Subscriber to award the configured gamification points, achievements and ranks to arbitrary users including administrators, and to accrue them without limit.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS