CVE-2026-84217
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Wtyczka Classified Listing (classified-listing) autorstwa Mamunur Rashid do wersji 6.1.3 ma brak autoryzacji, co pozwala na dostęp do funkcji nieprawidłowo ograniczonych przez listy kontroli dostępu (ACL).
Ocena ryzyka
Nieautoryzowani użytkownicy mogą korzystać z funkcji, które powinny być niedostępne, co może prowadzić do naruszenia integralności danych lub nieautoryzowanych działań.
Rekomendacja
Zaktualizuj wtyczkę Classified Listing do najnowszej wersji z poprawką lub skonfiguruj odpowiednie uprawnienia.
Inne podatności w Classified Listing
Zobacz wszystkie- CVE-2026-57355Średnie
Wtyczka Classified Listing dla WordPressa w wersji 5.4.2 i starszych zawiera podatność polegającą na złamaniu kontroli dostępu przez subskrybenta. Umożliwia to użytkownikom z rolą subskrybenta wykonywanie nieautoryzowanych operacji.
- CVE-2026-57344Wysokie
Wtyczka Classified Listing dla WordPressa w wersji 5.4.2 i starszych zawiera podatność na nieuwierzytelniony atak typu Cross Site Scripting (XSS). Oznacza to, że atakujący może wstrzyknąć złośliwy kod JavaScript bez konieczności logowania.
- CVE-2026-16276Niskie
Wtyczka WordPress 'Classified Listing' przed wersją 5.4.4 nie przeprowadza kontroli uprawnień w akcji AJAX, która zwraca zagregowane sumy przychodów sklepu, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na odczytywanie dziennych danych przychodów normalnie zarezerwowanych dla administratorów i menedżerów raportów.
- CVE-2026-16274Niskie
Wtyczka WordPress 'Classified Listing' przed wersją 5.4.4 nie przeprowadza kontroli uprawnień ani własności w akcji AJAX, która zwraca treść posta, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na odczytywanie treści dowolnego posta, strony lub niestandardowego typu posta na stronie — w tym szkiców, oczekujących i prywatnych postów należących do innych użytkowników — niezależnie od własności.
- CVE-2026-14183Średnie
Podatność we wtyczce Classified Listing do WordPressa (przed wersją 5.3.9). Umożliwia uwierzytelnionym użytkownikom z dostępem na poziomie subskrybenta odczytanie szczegółów potwierdzenia płatności zamówień innych użytkowników, ponieważ wtyczka nie weryfikuje, czy zamówienie należy do żądającego użytkownika.
- CVE-2026-42658Wysokie
W wersjach Classified Listing do 5.3.8 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.
- CVE-2026-42651Średnie
Wersje Classified Listing do 5.3.9 mają lukę w kontroli dostępu, która może umożliwić nieautoryzowanym subskrybentom dostęp do zasobów.
- CVE-2026-42640Średnie
Wersje Classified Listing do 5.3.8 mają lukę w kontroli dostępu, która pozwala na nieautoryzowany dostęp.
- CVE-2026-42679Średnie
Podatność na Path Traversal we wtyczce Classified Listing (WordPress) do wersji 5.3.8. Umożliwia atakującemu dostęp do plików poza dozwolonym katalogiem.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization vulnerability in Mamunur Rashid Classified Listing classified-listing allows Accessing Functionality Not Properly Constrained by ACLs.This issue affects Classified Listing: from n/a through 6.1.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS