CVE-2026-7798

ŚrednieCVSS 5.4

Opublikowano: 22/05/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.65%

Percentyl 47 - wyżej niż 47% wszystkich znanych CVE

Streszczenie

Wtyczka FluentCRM dla WordPress do wersji 2.9.87 włącznie jest podatna na ślepe SSRF przez parametr 'SubscribeURL'. Niezautoryzowani atakujący mogą wysyłać żądania do dowolnych lokalizacji z poziomu aplikacji, co umożliwia odczyt i modyfikację danych z wewnętrznych usług. Wykorzystanie wymaga, aby klucz obsługi odbić SES nie został jeszcze zapisany (domyślna konfiguracja).

Ocena ryzyka

Atakujący może uzyskać dostęp do wewnętrznych zasobów sieciowych, takich jak bazy danych czy serwery API, oraz potencjalnie modyfikować dane, co prowadzi do naruszenia poufności i integralności systemu.

Rekomendacja

Zaktualizuj wtyczkę FluentCRM do najnowszej wersji. Jeśli aktualizacja nie jest możliwa, skonfiguruj obsługę odbić SES, aby wygenerować losowy klucz, co zablokuje nieuwierzytelnione żądania.

Inne podatności w FluentCRM

CVE-2025-12935Średnie
Wtyczka FluentCRM – Email Newsletter, Automation, Email Marketing, Email Campaigns, Optins, Leads, and CRM Solution dla WordPress jest podatna na Stored Cross-Site Scripting poprzez shortcode 'fluentcrm_content' we wszystkich wersjach do 2.9.84 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych na atrybutach dostarczanych przez użytkownika. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu współpracownika i wyższym wstrzykiwanie dowolnych skryptów internetowych do stron, które zostaną wykonane, gdy użytkownik uzyska dostęp do zainfekowanej strony.

Oryginalny opis (angielski, źródło NVD)

The FluentCRM – Email Newsletter, Automation, Email Marketing, Email Campaigns, Optins, Leads, and CRM Solution plugin for WordPress is vulnerable to Blind Server-Side Request Forgery in all versions up to, and including, 2.9.87 via the 'SubscribeURL' parameter. This makes it possible for unauthenticated attackers to make web requests to arbitrary locations originating from the web application and can be used to query and modify information from internal services. Exploitation requires that the SES bounce handling key ('_fc_bounce_key') has never been stored (i.e., the site is in its default/unconfigured state with respect to SES bounce handling) as visiting the bounce configuration page auto-generates and stores a random key that causes the authentication check to evaluate correctly and reject unauthenticated requests.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS