CVE-2026-80513

WysokieCVSS 7.5

Opublikowano: 24/09/2026(UTC)Zaktualizowano: 24/09/2026(UTC)Przetłumaczono: 24/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

Wtyczka wpForo Forum dla WordPressa w wersjach przed 3.1.6 nie ogranicza klas, które mogą być instancjonowane podczas deserializacji wartości pola profilu dostarczonej przez użytkownika. Umożliwia to uwierzytelnionym użytkownikom z poziomem Subscriber i wyższym wstrzyknięcie obiektu PHP. Brak łańcucha POP w samej wtyczce, ale jeśli istnieje on w innej zainstalowanej wtyczce, może to prowadzić do zdalnego wykonania kodu, dowolnych operacji na plikach lub SQL injection. To niekompletna poprawka CVE-2026-49769.

Ocena ryzyka

Uwierzytelniony użytkownik z niskimi uprawnieniami może wstrzyknąć obiekt PHP, co w połączeniu z inną wtyczką może doprowadzić do zdalnego wykonania kodu lub SQL injection. Ryzyko obejmuje pełne przejęcie serwera i wyciek danych.

Rekomendacja

Zaktualizuj wtyczkę wpForo Forum do wersji 3.1.6 lub nowszej. Przejrzyj zainstalowane wtyczki pod kątem obecności łańcuchów POP i ogranicz role Subscriber, jeśli to możliwe.

Inne podatności w wpForo Forum WordPress Plugin

CVE-2026-80514Średnie
Wtyczka wpForo Forum dla WordPressa w wersjach od 3.0.0 przed 3.1.6 nie weryfikuje źródła nagłówków adresu IP dostarczanych przez klienta przed użyciem ich do ustalania limitu szybkości na użytkownika dla płatnych żądań AI. Umożliwia to nieuwierzytelnionym atakującym obejście limitu poprzez fałszowanie nagłówka i wyczerpanie rozliczanych kredytów AI właściciela witryny.

Oryginalny opis (angielski, źródło NVD)

The wpForo Forum WordPress plugin before 3.1.6 does not restrict which classes may be instantiated when it deserializes a user-supplied profile field value, allowing authenticated users with Subscriber-level access and above to inject a PHP Object. No POP chain is present in the wpForo Forum WordPress plugin before 3.1.6 itself; if one is present via another installed wpForo Forum WordPress plugin before 3.1.6 or , this could lead to remote code execution, arbitrary file operations, or SQL injection. This is an incomplete fix of CVE-2026-49769.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS