CVE-2026-78396
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Link Library w wersji przed 7.10.0 nie weryfikuje, czy żądany link należy do zestawu ustawień, którego szablon wyświetlania jest używany do jego renderowania. Umożliwia to nieuwierzytelnionym użytkownikom ujawnienie numeru telefonu, adresu e-mail i nazwy zgłaszającego zapisanych przy linkach, których zestaw ustawień jest skonfigurowany tak, aby ich nie wyświetlać.
Ocena ryzyka
Może dojść do wycieku danych kontaktowych i danych osobowych zgłaszających, co narusza prywatność i może mieć skutki zgodnościowe (np. RODO).
Rekomendacja
Zaktualizuj wtyczkę Link Library do wersji 7.10.0 lub nowszej. Sprawdź konfigurację zestawów ustawień pod kątem ujawnianych pól.
Inne podatności w Link Library WordPress plugin
Zobacz wszystkie- CVE-2026-78395Średnie
Wtyczka WordPress Link Library w wersji przed 7.10.0 nie sprawdza ponownie wymogu logowania wybranej biblioteki przy przetwarzaniu zgłoszenia linku z frontendu. Umożliwia to nieuwierzytelnionym użytkownikom przesyłanie linków do biblioteki skonfigurowanej jako wymagająca logowania poprzez ponowne użycie tokenu formularza uzyskanego z innej biblioteki, która tego wymogu nie ma.
- CVE-2026-78397Średnie
Wtyczka WordPress Link Library przed wersją 7.9.6 nie waliduje miejsca docelowego adresu URL podanego przez użytkownika, zanim nastąpi powrót do niezabezpieczonego pobrania, gdy bezpieczne żądanie zostanie odrzucone. Umożliwia to nieuwierzytelnionym odwiedzającym zmuszenie witryny do wysyłania żądań do hostów w sieci wewnętrznej i ustalenie na podstawie odpowiedzi, czy wewnętrzna usługa odpowiedziała.
- CVE-2026-78394Średnie
Wtyczka WordPress Link Library przed wersją 7.9.6 nie sanityzuje folderu docelowego podanego przez użytkownika przed zapisem wygenerowanego obrazu na dysku. Pozwala to użytkownikom z rolą Contributor i wyższą tworzyć katalogi oraz zapisywać lub nadpisywać pliki obrazów wszędzie tam, gdzie serwer WWW może pisać, w tym poza katalogiem głównym witryny.
- CVE-2026-78393Średnie
Wtyczka WordPress Link Library przed wersją 7.9.6 nie escapuje prawidłowo niektórych parametrów przed wyświetleniem ich w adresach generowanych linków na stronach katalogu front-end. Prowadzi to do odbitego cross-site scripting (Reflected XSS), który może być wykorzystany przeciwko dowolnemu odwiedzającemu, w tym zalogowanym administratorom.
Oryginalny opis (angielski, źródło NVD)
The Link Library WordPress plugin before 7.10.0 does not verify that a requested link belongs to the settings set whose display template is used to render it, allowing unauthenticated users to disclose the telephone number, e-mail address and submitter name stored with links that the settings set is configured not to display.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS