CVE-2026-80338

ŚrednieCVSS 6.8

Opublikowano: 24/09/2026(UTC)Zaktualizowano: 24/09/2026(UTC)Przetłumaczono: 24/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.13%

Percentyl 2 - wyżej niż 2% wszystkich znanych CVE

Streszczenie

Wtyczka CMB2 dla WordPressa w wersji przed 2.13.0 nie wykonuje żadnej kontroli uprawnień na jednej ze swoich akcji AJAX. Umożliwia to użytkownikom o roli tak niskiej jak Subscriber tworzenie dowolnych opcji WordPressa i psucie istniejących, co może zepsuć podstawowe ustawienia strony i doprowadzić do jej niedostępności. Wykorzystanie wymaga, aby strona lub inna wtyczka CMB2 przed 2.13.0 zadeklarowała pole oEmbed, ponieważ sama wtyczka CMB2 przed 2.13.0 nie rejestruje żadnego własnego. Przechowywana wartość nigdy nie jest kontrolowana przez atakującego, więc problem nie prowadzi do eskalacji uprawnień.

Ocena ryzyka

Niskouprzywilejowani użytkownicy mogą uszkodzić konfigurację strony, co może prowadzić do jej niedostępności i wymagać interwencji administracyjnej.

Rekomendacja

Zaktualizuj wtyczkę CMB2 do wersji 2.13.0 lub nowszej.

Inne podatności w CMB2 WordPress Plugin

CVE-2026-116761Średnie
Wtyczka CMB2 dla WordPressa w wersjach do 2.13.4 włącznie jest podatna na przechowywany cross-site scripting poprzez parametr 'cmb43ex1_grp[0][txt]' (pole wysiwyg wewnątrz grupy, którego identyfikator kontroluje konfiguracja integratora) z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę; podatność jest wykorzystywana tylko wtedy, gdy integrator witryny renderuje udokumentowany helper formularza front-endowego z polem wysiwyg w powtarzalnej grupie na publicznie dostępnej stronie.

Oryginalny opis (angielski, źródło NVD)

The CMB2 WordPress plugin before 2.13.0 does not perform any capability check on one of its AJAX actions, allowing users with a role as low as Subscriber to create arbitrary WordPress options and corrupt existing ones, which can break core site settings and take the site offline. Exploitation requires the site's or another CMB2 WordPress plugin before 2.13.0 to have declared an oEmbed field, as the CMB2 WordPress plugin before 2.13.0 registers none of its own. The stored value is never attacker-controlled, so the issue does not lead to privilege escalation.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS