CVE-2026-80514

ŚrednieCVSS 5.3

Opublikowano: 25/09/2026(UTC)Zaktualizowano: 25/09/2026(UTC)Przetłumaczono: 25/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.16%

Percentyl 4 - wyżej niż 4% wszystkich znanych CVE

Streszczenie

Wtyczka wpForo Forum dla WordPressa w wersjach od 3.0.0 przed 3.1.6 nie weryfikuje źródła nagłówków adresu IP dostarczanych przez klienta przed użyciem ich do ustalania limitu szybkości na użytkownika dla płatnych żądań AI. Umożliwia to nieuwierzytelnionym atakującym obejście limitu poprzez fałszowanie nagłówka i wyczerpanie rozliczanych kredytów AI właściciela witryny.

Ocena ryzyka

Atakujący może wyczerpać płatne kredyty AI organizacji, generując niekontrolowane koszty. Może to również prowadzić do odmowy usługi dla legalnych użytkowników.

Rekomendacja

Zaktualizuj wtyczkę wpForo Forum do wersji 3.1.6 lub nowszej. Rozważ monitorowanie zużycia kredytów AI i wdrożenie dodatkowych zabezpieczeń przed fałszowaniem nagłówków IP.

Inne podatności w wpForo Forum WordPress plugin

CVE-2026-80513Wysokie
Wtyczka wpForo Forum dla WordPressa w wersjach przed 3.1.6 nie ogranicza klas, które mogą być instancjonowane podczas deserializacji wartości pola profilu dostarczonej przez użytkownika. Umożliwia to uwierzytelnionym użytkownikom z poziomem Subscriber i wyższym wstrzyknięcie obiektu PHP. Brak łańcucha POP w samej wtyczce, ale jeśli istnieje on w innej zainstalowanej wtyczce, może to prowadzić do zdalnego wykonania kodu, dowolnych operacji na plikach lub SQL injection. To niekompletna poprawka CVE-2026-49769.

Oryginalny opis (angielski, źródło NVD)

The wpForo Forum WordPress plugin from 3.0.0 before 3.1.6 does not verify the source of client-supplied IP address headers before using them to key its per-visitor rate limit on paid AI requests, allowing unauthenticated attackers to bypass the limit by spoofing the header and exhaust the site owner's metered AI credits.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS