CVE-2026-84025
NieznaneStreszczenie
Wtyczka WordPress BEAR w wersji przed 1.2.2 nie sprawdza własności w kilku handlerach zwracających dane produktu na podstawie identyfikatora podanego przez użytkownika. Umożliwia to użytkownikom ograniczonym do własnych produktów odczyt informacji o produktach innych właścicieli, w tym chronionych adresów URL plików do pobrania i prywatnych metadanych produktu.
Ocena ryzyka
Użytkownik o ograniczonych uprawnieniach może uzyskać dostęp do chronionych plików i prywatnych metadanych innych właścicieli, co narusza poufność danych.
Rekomendacja
Zaktualizuj wtyczkę BEAR do wersji 1.2.2 lub nowszej. Sprawdź, czy chronione pliki nie zostały pobrane przez nieuprawnione osoby.
Inne podatności w BEAR WordPress plugin
Zobacz wszystkie- CVE-2026-84024Nieznane
Wtyczka WordPress BEAR w wersji przed 1.2.2 nie weryfikuje nonce CSRF przed zapisaniem konfiguracji pola meta. Umożliwia to atakującemu nadpisanie tej konfiguracji poprzez nakłonienie zalogowanego administratora do odwiedzenia spreparowanej strony.
- CVE-2026-84023Nieznane
Wtyczka BEAR dla WordPressa w wersji przed 1.2.2 nie weryfikuje tokenu CSRF ani nie sprawdza uprawnień użytkownika przed aktualizacją terminów taksonomii. Umożliwia to atakującemu modyfikację dowolnych terminów poprzez nakłonienie zalogowanego uprzywilejowanego użytkownika do odwiedzenia spreparowanej strony.
Oryginalny opis (angielski, źródło NVD)
The BEAR WordPress plugin before 1.2.2 does not perform ownership checks on several handlers that return product data by a user-supplied identifier, allowing users who are restricted to their own products to read other owners' product information, including protected downloadable file URLs and private product metadata.