CVE-2026-82126
Niskie ryzyko· EPSS 7%Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Podatność w pluginie Schema & Structured Data for WP & AMP przed wersją 1.66 nie weryfikuje uprawnień użytkownika do edycji konkretnego posta przy generowaniu schematu, co pozwala użytkownikom z rolą contributor i wyżej na odczyt treści cudzych wpisów (szkice, oczekujące, prywatne i chronione hasłem).
Ocena ryzyka
Atakujący może uzyskać dostęp do niepublicznych treści innych użytkowników, co narusza poufność danych.
Rekomendacja
Zaktualizuj plugin do wersji 1.66 lub nowszej, która zawiera poprawkę.
Inne podatności w Schema & Structured Data for WP & AMP
Zobacz wszystkie- CVE-2026-9067Krytyczne
Wtyczka Schema & Structured Data for WP & AMP dla WordPressa przed wersją 1.60 nie sprawdza uprawnień użytkownika w swoich frontendowych procedurach obsługi przesyłania plików AJAX i nie weryfikuje rzeczywistej zawartości przesłanych plików pod kątem oczekiwanego typu mediów, co pozwala nieuwierzytelnionym użytkownikom na przesyłanie dowolnych typów plików akceptowanych przez bibliotekę multimediów WordPressa przez punkty końcowe, które powinny akceptować tylko obrazy lub filmy.
- CVE-2026-82125Niskie ryzyko· EPSS 8%
Plugin Schema & Structured Data for WP & AMP przed wersją 1.66 nie weryfikuje prawidłowo własności ani statusu moderacji komentarza przed zwróceniem jego treści, co pozwala niezalogowanym użytkownikom na odczyt komentarzy oczekujących na moderację lub oznaczonych jako spam.
- CVE-2026-82124Niskie ryzyko· EPSS 9%
Plugin Schema & Structured Data for WP & AMP przed wersją 1.66 nie sprawdza, czy post jest chroniony hasłem przed umieszczeniem jego treści w generowanych danych strukturalnych, co pozwala niezalogowanym użytkownikom uzyskać treść postów chronionych hasłem przez wiele publicznych ścieżek wyjścia.
Oryginalny opis (angielski, źródło NVD)
The Schema & Structured Data for WP & AMP WordPress plugin before 1.66 does not check that a user is allowed to edit the specific post they request schema generation for, allowing users with the contributor role and above to obtain the content of other users' draft, pending, private and password protected posts.