CVE-2026-84098
ŚrednieCVSS 6.5Streszczenie
Wtyczka WordPress Directorist w wersji przed 8.9.5 nie weryfikuje prawidłowo właściciela ogłoszenia przed jego usunięciem. Umożliwia to uwierzytelnionym atakującym z uprawnieniami subskrybenta i wyższymi usunięcie dowolnych ogłoszeń, w tym należących do innych użytkowników. Jest to niekompletna poprawka CVE-2023-1889 / CVE-2023-35052 — osobna, niezałatana ścieżka usuwania ogłoszeń pozwala na ten sam skutek od wersji 3.1.0 do obecnego wydania.
Ocena ryzyka
Użytkownik o niskich uprawnieniach może usunąć dowolne ogłoszenia, w tym należące do innych osób, powodując utratę danych i zakłócenie działania serwisu. Problem dotyczy wielu wersji i może być wykorzystany masowo.
Rekomendacja
Zaktualizuj wtyczkę Directorist do wersji 8.9.5 lub nowszej. Zweryfikuj, czy wszystkie ścieżki usuwania ogłoszeń sprawdzają właściciela, oraz przejrzyj kopie zapasowe pod kątem utraconych danych.
Inne podatności w Directorist WordPress plugin
Zobacz wszystkie- CVE-2026-84150Średnie
Wtyczka WordPress Directorist w wersji przed 8.9.5 nie weryfikuje, czy docelowy użytkownik trasy REST odpowiada uwierzytelnionemu wywołującemu, przed odczytem i modyfikacją zapisanych ulubionych tego użytkownika. Umożliwia to każdemu zalogowanemu użytkownikowi z uprawnieniami subskrybenta przeglądanie i zmianę ulubionych innego użytkownika.
- CVE-2026-84046Średnie
Wtyczka WordPress Directorist w wersji przed 8.9.5 nie waliduje adresu URL dostarczonego przez użytkownika przed pobraniem go po stronie serwera. Umożliwia to użytkownikom z rolą subskrybenta i wyższą zmuszenie serwera do wysyłania żądań do adresów wewnętrznych.
Oryginalny opis (angielski, źródło NVD)
The Directorist: AI-Powered Business Directory, Listings & Classified Ads WordPress plugin before 8.9.5 does not properly verify a listing's ownership before deleting it, allowing authenticated attackers with Subscriber-level access and above to delete arbitrary listings, including ones belonging to other users. This is an incomplete fix of CVE-2023-1889 / CVE-2023-35052: a separate, unaddressed listing-deletion path allows the same impact, from at least version 3.1.0 through the current release.