CVE-2026-77766
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka Directorist dla WordPressa przed wersją 8.9.5 nie ogranicza jednego z punktów końcowych REST do bieżącego użytkownika, co pozwala użytkownikom z rolą subskrybenta na odczyt rekordów zamówień i płatności każdego klienta. Wersje 8.8.1 do 8.9 nie są dotknięte; punkt końcowy był poprawnie ograniczony w 8.8.1, a nieograniczone zachowanie zostało ponownie wprowadzone w 8.9.1.
Ocena ryzyka
Ujawnienie danych zamówień i płatności wszystkich klientów może prowadzić do naruszenia prywatności i wykorzystania tych danych do oszustw.
Rekomendacja
Zaktualizuj wtyczkę Directorist do wersji 8.9.5 lub nowszej, która zawiera poprawkę ograniczającą punkt końcowy.
Inne podatności w Directorist
Zobacz wszystkie- CVE-2026-59518Krytyczne
Wtyczka Directorist dla WordPressa zawiera podatność na deserializację niezaufanych danych, umożliwiającą wstrzyknięcie obiektu. Problem dotyczy wersji do 8.8.2 włącznie.
- CVE-2026-84027Średnie
Wtyczka Directorist dla WordPressa przed wersją 8.9.5 nie sprawdza uprawnień użytkownika podczas tworzenia zamówień przez REST API, co pozwala użytkownikom z rolą subskrybenta i wyższą na tworzenie płatnych zamówień i rekordów płatności z dowolnymi kwotami oraz przypisywanie ich innym użytkownikom.
- CVE-2026-84026Średnie
Wtyczka Directorist dla WordPressa przed wersją 8.9.5 nie ogranicza dostępu do punktu końcowego REST, który zwraca rekordy użytkowników, co pozwala nieuwierzytelnionym atakującym na odczyt prywatnych danych kontaktowych zarejestrowanych użytkowników.
- CVE-2026-84066Niskie
Wtyczka Directorist: AI-Powered Business Directory, Listings & Classified Ads dla WordPressa przed wersją 8.9 nie weryfikuje, czy żądający użytkownik jest właścicielem modyfikowanego wpisu przed zapisaniem odniesień do przesłanych plików w jego metadanych. Umożliwia to użytkownikom z rolą subskrybenta i wyższą nadpisywanie metadanych obrazów na wpisach należących do innych użytkowników.
- CVE-2026-77757Średnie
Wtyczka Directorist: AI-Powered Business Directory, Listings & Classified Ads dla WordPressa przed wersją 8.9.3 nie sanityzuje referencji do obrazu dostarczonej przez użytkownika przed użyciem jej jako źródła przeniesienia pliku, co pozwala użytkownikom z poziomem subskrybenta na przenoszenie dowolnych plików obrazów czytelnych dla serwera do publicznie dostępnego katalogu oraz usuwanie ich z pierwotnej lokalizacji.
- CVE-2026-39509Średnie
Wtyczka Directorist dla WordPressa zawiera lukę w autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Luka ta dotyczy wersji do 8.5.10 włącznie.
Oryginalny opis (angielski, źródło NVD)
The Directorist: AI-Powered Business Directory, Listings & Classified Ads WordPress plugin before 8.9.5 does not scope one of its REST collection endpoints to the requesting user, allowing users with a subscriber-level account to read every customer's order and payment records. Versions 8.8.1 to 8.9 are not affected. The endpoint was scoped correctly in 8.8.1 and the unscoped behaviour was reintroduced in 8.9.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS