CVE-2026-78262
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Podatność w wtyczce WP Project Manager w wersjach do 4.0.6 pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie obiektów PHP (PHP Object Injection).
Ocena ryzyka
Atakujący może wykorzystać tę podatność do zdalnego wykonania kodu lub manipulacji danymi, co może prowadzić do przejęcia kontroli nad stroną WordPress.
Rekomendacja
Zaktualizuj wtyczkę WP Project Manager do najnowszej wersji z poprawką. Ogranicz dostęp do formularzy i monitoruj logi pod kątem podejrzanych działań.
Inne podatności w WP Project Manager
Zobacz wszystkie- CVE-2026-97281Średnie
Podatność Broken Access Control w WP Project Manager w wersjach do 4.0.7 pozwala subskrybentowi na nieautoryzowany dostęp do funkcji administracyjnych.
- CVE-2025-68040Średnie
Wtyczka WP Project Manager od weDevs jest podatna na wstawianie wrażliwych informacji do wysyłanych danych, co pozwala na odzyskanie osadzonych danych wrażliwych. Podatność dotyczy wersji do 3.0.1 włącznie.
- CVE-2025-8994Średnie
Wtyczka WP Project Manager dla WordPressa jest podatna na ataki SQL Injection oparte na czasie poprzez parametr 'completed_at_operator' we wszystkich wersjach do 2.6.26 włącznie. Problem wynika z niedostatecznego escapowania parametru i braku przygotowania zapytania SQL, co pozwala uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyższym na dołączanie dodatkowych zapytań SQL do istniejących, umożliwiając wyciągnięcie wrażliwych danych z bazy.
- CVE-2025-58269Średnie
Wtyczka WP Project Manager dla WordPressa zawiera podatność polegającą na użyciu twardo zakodowanych poświadczeń, co umożliwia atakującemu odzyskanie wrażliwych danych osadzonych w aplikacji. Problem dotyczy wersji do 2.6.25 włącznie.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated PHP Object Injection in WP Project Manager <= 4.0.6 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS