CVE-2026-82627
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka Uncanny Automator – AI + Automation for WordPress | AI Agent, AI Page Builder, Free AI Usage Included dla WordPress jest podatna na wstrzyknięcie obiektu PHP we wszystkich wersjach do 7.6.1.1 włącznie, poprzez deserializację niezaufanych danych. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyższym wstrzyknięcie obiektu PHP, gdy zainstalowana jest wtyczka integracyjna innej firmy (takiej jak PeepSo, MailPoet, WPForms itp.) i skonfigurowany jest przepis, który przechowuje dane kontrolowane przez atakującego jako metadane wyzwalacza. Dodatkowa obecność łańcucha POP w Uncanny Automator pozwala atakującym na usuwanie dowolnych plików na serwerze.
Ocena ryzyka
Ryzyko obejmuje możliwość usunięcia dowolnych plików na serwerze przez uwierzytelnionego atakującego, co może prowadzić do naruszenia integralności systemu i dostępności usług.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Uncanny Automator do wersji nowszej niż 7.6.1.1 oraz ograniczenie uprawnień użytkowników do minimalnego wymaganego poziomu.
Inne podatności w Uncanny Automator
Zobacz wszystkie- CVE-2026-15025Wysokie
Wtyczka Uncanny Automator dla WordPress do wersji 7.3.2 włącznie zawiera brak autoryzacji w kilku akcjach AJAX. Brakuje sprawdzenia uprawnień i weryfikacji nonce, co pozwala uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta i wyższym na wyliczanie wrażliwych grup/kontaktów Google oraz segmentów, tagów i definicji pól kontaktowych Mautic.
- CVE-2026-65462Wysokie
Wtyczka Uncanny Automator w wersji 7.3.2 i starszych umożliwia administratorowi wstrzyknięcie SQL (SQL Injection). Administrator może wykonać dowolne zapytania SQL do bazy danych.
- CVE-2026-15008Wysokie
Wtyczka Uncanny Automator dla WordPressa w wersjach do 7.3.1.4 zawiera podatność na usuwanie dowolnych plików z powodu niewystarczającej walidacji ścieżki w funkcji fr_token. Niezautoryzowani atakujący mogą usunąć krytyczne pliki, takie jak wp-config.php, co może prowadzić do zdalnego wykonania kodu. Eksploatacja wymaga formularza Forminator połączonego z przepływem Uncanny Automator skonfigurowanym dla wszystkich użytkowników.
Oryginalny opis (angielski, źródło NVD)
The Uncanny Automator – AI + Automation for WordPress | AI Agent, AI Page Builder, Free AI Usage Included plugin for WordPress is vulnerable to PHP Object Injection in all versions up to, and including, 7.6.1.1 via deserialization of untrusted input. This makes it possible for authenticated attackers, with Subscriber-level access and above, to inject a PHP Object when a third-party integration plugin (such as PeepSo, MailPoet, WPForms, etc) is installed and a recipe is configured that stores attacker-controlled data as trigger meta. The additional presence of a POP chain within Uncanny Automator allows attackers to delete arbitrary files on the server.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS