CVE-2026-80440
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka Hustle dla WordPressa przed wersją 7.8.14.2 nie zapobiega wykonywaniu shortcode'ów w przesłanych wartościach formularza, gdy podstawia te wartości do wiadomości zwracanej po wysłaniu. Zabezpieczenie może zostać ominięte przez zagnieżdżanie, co pozwala nieuwierzytelnionym użytkownikom na uruchamianie dowolnych shortcode'ów zarejestrowanych na stronie.
Ocena ryzyka
Atakujący może wykonywać dowolne shortcode'y, co może prowadzić do przejęcia kontroli nad stroną, kradzieży danych lub rozprzestrzeniania złośliwego oprogramowania. Może to również naruszyć integralność treści i zaufanie użytkowników.
Rekomendacja
Zaleca się aktualizację wtyczki Hustle do wersji 7.8.14.2 lub nowszej. Należy również sprawdzić, czy inne wtyczki nie mają podobnych podatności na wstrzykiwanie shortcode'ów.
Inne podatności w Hustle
Zobacz wszystkie- CVE-2026-103075Średnie
Wtyczka Hustle (wersje do 7.8.14.2 włącznie) zawiera podatność typu Missing Authorization, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wszystkich wersji od n/a do 7.8.14.2.
- CVE-2026-2263Średnie
Wtyczka Hustle dla WordPress do wersji 7.8.10.2 ma podatność na nieautoryzowaną modyfikację danych przez brak sprawdzenia uprawnień w akcji AJAX 'hustle_module_converted'. Nieuwierzytelnieni atakujący mogą fałszować zdarzenia konwersji dla dowolnego modułu Hustle, w tym modułów w wersji roboczej.
Oryginalny opis (angielski, źródło NVD)
The Hustle WordPress plugin before 7.8.14.2 does not prevent shortcodes in submitted form values from being executed when it substitutes those values into the message it returns after submission, because the guard it applies can be defeated by nesting, allowing unauthenticated users to run any shortcode registered on the site.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS