CVE-2026-79618
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress WP User Frontend w wersji przed 4.3.12 nie egzekwuje wymogu zakupu subskrypcji w jednym z handlerów tworzenia postów. Umożliwia to uwierzytelnionym użytkownikom z poziomem subskrybenta i wyższym tworzenie, a w zależności od konfiguracji formularza natychmiastową publikację postów przez formularze zastrzeżone dla płacących subskrybentów.
Ocena ryzyka
Użytkownicy z niskimi uprawnieniami mogą publikować treści bez wymaganej subskrypcji, co może prowadzić do nadużyć, spamu lub publikacji nieautoryzowanych treści. Narusza to model biznesowy i kontrolę dostępu witryny.
Rekomendacja
Zaktualizuj wtyczkę WP User Frontend do wersji 4.3.12 lub nowszej. Sprawdź konfigurację formularzy i zweryfikuj, czy wymóg subskrypcji jest prawidłowo egzekwowany.
Inne podatności w WP User Frontend
Zobacz wszystkie- CVE-2026-81283Wysokie
Wtyczka WP User Frontend w wersjach do 4.3.10 zawiera podatność na wstrzykiwanie obiektów PHP przez subskrybenta. Atakujący z rolą subskrybenta może wykorzystać tę podatność do wykonania nieautoryzowanych operacji.
- CVE-2026-52708Średnie
Wtyczka WP User Frontend (weDevs) do wersji 4.3.13 zawiera podatność typu Missing Authorization, polegającą na niewystarczającej kontroli dostępu. Umożliwia to wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.
- CVE-2026-48884Średnie
Wtyczka WP User Frontend (weDevs) do wersji 4.3.13 zawiera podatność typu Missing Authorization wynikającą z niewystarczającej kontroli dostępu. Pozwala ona na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.
- CVE-2026-95525Średnie
Wtyczka WP User Frontend w wersjach do 4.3.11 włącznie zawiera podatność umożliwiającą użytkownikowi z rolą Subscriber dowolne usuwanie plików. Błąd wynika z niewystarczającej walidacji uprawnień przy operacjach na plikach.
- CVE-2026-95524Średnie
Wtyczka WP User Frontend w wersjach do 4.3.11 włącznie zawiera podatność typu Bypass, którą może wykorzystać nieuwierzytelniony atakujący. Błąd pozwala na obejście mechanizmów kontrolnych wtyczki.
- CVE-2026-95523Średnie
Wtyczka WP User Frontend w wersjach do 4.3.11 włącznie zawiera podatność typu Bypass, którą może wykorzystać użytkownik z rolą Subscriber. Błąd pozwala na obejście mechanizmów kontrolnych wtyczki.
- CVE-2026-57334Średnie
Wtyczka WP User Frontend w wersjach do 4.3.7 zawiera lukę umożliwiającą nieuwierzytelnionym atakującym ominięcie kontroli dostępu. Podatność ta pozwala na nieautoryzowany dostęp do funkcji przeznaczonych dla zalogowanych użytkowników.
- CVE-2025-58673Średnie
Podatność na wstrzykiwanie kodu (Code Injection) w wtyczce WP User Frontend dla WordPressa, umożliwiająca atakującemu wykonanie dowolnego kodu. Problem dotyczy wersji do 4.1.12 włącznie.
- CVE-2025-58672Średnie
Wtyczka WP User Frontend (wersje do 4.1.12 włącznie) zawiera podatność braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Użytkownik o niskich uprawnieniach może uzyskać dostęp do funkcji zastrzeżonych dla wyższych ról.
Oryginalny opis (angielski, źródło NVD)
The WP User Frontend WordPress plugin before 4.3.12 does not enforce its subscription-purchase requirement in one of its post-creation handlers, allowing authenticated users with subscriber-level access and above to create and, depending on the form's configuration, immediately publish posts through forms restricted to paying subscribers.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS