CVE-2026-78266
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka AutomatorWP w wersjach do 5.8.3 ma podatność polegającą na złamanej kontroli dostępu dla subskrybentów (Broken Access Control). Oznacza to, że użytkownik o roli subskrybenta może uzyskać nieautoryzowany dostęp do funkcji, do których nie powinien mieć uprawnień.
Ocena ryzyka
Ryzyko obejmuje możliwość eskalacji uprawnień przez subskrybentów, co może prowadzić do nieautoryzowanych zmian w konfiguracji wtyczki lub dostępu do wrażliwych danych.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki AutomatorWP do najnowszej wersji, która usuwa tę podatność, oraz przegląd uprawnień użytkowników.
Inne podatności w AutomatorWP
Zobacz wszystkie- CVE-2026-76074Średnie
Wtyczka AutomatorWP dla WordPressa do wersji 5.8.4 włącznie jest podatna na obejście autoryzacji z powodu niewłaściwego weryfikowania uprawnień użytkownika. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta lub wyższym mogą pobrać katalog list mailingowych Campaign Monitor, w tym identyfikatory i nazwy list, które powinny być dostępne tylko dla menedżerów.
- CVE-2026-76057Średnie
Wtyczka AutomatorWP dla WordPressa do wersji 5.8.4 włącznie jest podatna na obejście autoryzacji z powodu niewłaściwego weryfikowania uprawnień użytkownika. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta lub wyższym mogą pobrać wszystkie dane formularzy ConvertKit skonfigurowane przez menedżera witryny, ujawniając szczegóły integracji przeznaczone tylko dla menedżerów.
- CVE-2026-42775Wysokie
W wersjach AutomatorWP do 5.7.2 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.
- CVE-2026-42650Wysokie
W wersjach AutomatorWP do 5.6.7 występuje podatność na nieautoryzowany atak Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.
- CVE-2026-40785Wysokie
Wersje AutomatorWP do 5.6.7 mają lukę w autoryzacji subskrybenta, co może prowadzić do nieautoryzowanego dostępu.
Oryginalny opis (angielski, źródło NVD)
Subscriber Broken Access Control in AutomatorWP <= 5.8.3 versions.