CVE-2026-8418
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wtyczka Games Catalog dla WordPressa jest podatna na Cross-Site Request Forgery (CSRF) w wersjach do 1.2.0 włącznie. Brak walidacji nonce w funkcji gc_crud() dla akcji usuwania (action=delete) przez żądanie GET umożliwia nieuwierzytelnionym atakującym usunięcie dowolnych wpisów katalogu gier (wraz z powiązanym postem WordPress) poprzez sfałszowane żądanie, pod warunkiem że nakłonią administratora do kliknięcia linku.
Ocena ryzyka
Atakujący może trwale usunąć wpisy katalogu gier i powiązane treści, co prowadzi do utraty danych i zakłócenia działania strony.
Rekomendacja
Zaktualizuj wtyczkę do wersji, która zawiera poprawną walidację nonce. Jeśli nie jest dostępna, rozważ tymczasowe wyłączenie wtyczki.
Oryginalny opis (angielski, źródło NVD)
The Games Catalog plugin for WordPress is vulnerable to Cross-Site Request Forgery in versions up to, and including, 1.2.0. This is due to missing or incorrect nonce validation on the gc_crud() function which handles the delete action (action=delete) via a GET request without any wp_verify_nonce() / check_admin_referer() call. This makes it possible for unauthenticated attackers to delete arbitrary game catalog entries (including the associated WordPress post created for the game) via a forged request, granted they can trick a site administrator into performing an action such as clicking on a link.