CVE-2026-84814
KrytyczneCVSS 9.8Streszczenie
Podatność eskalacji uprawnień w wtyczce Bricksforge w wersjach do 3.1.8.8, która pozwala użytkownikowi z rolą subskrybenta na podniesienie swoich uprawnień.
Ocena ryzyka
Użytkownik z niskimi uprawnieniami może uzyskać dostęp do funkcji administracyjnych, co może prowadzić do przejęcia kontroli nad witryną.
Rekomendacja
Zaleca się aktualizację wtyczki Bricksforge do najnowszej wersji, która zawiera poprawkę.
Inne podatności w Bricksforge
Zobacz wszystkie- CVE-2026-34888Wysokie
W wersjach Bricksforge <= 3.1.8.4 występuje podatność na nieautoryzowany dostęp do wrażliwych danych.
- CVE-2026-14956Krytyczne
Wtyczka Bricksforge dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do 3.1.8.6 włącznie. Podatność wynika z nieprawidłowej walidacji parametru fieldIds w akcji rejestracji Pro Forms, co pozwala atakującemu na dodanie własnych identyfikatorów pól do zaufanej listy pól formularza. Umożliwia to niezautoryzowanym atakującym rejestrację nowego konta administratora poprzez wysłanie spreparowanego żądania do publicznie dostępnego formularza rejestracyjnego Bricksforge Pro Forms.
- CVE-2026-18030Wysokie
Wtyczka BricksForge dla WordPressa przed wersją 3.1.8.8 nie weryfikuje tożsamości osoby wysyłającej żądanie podczas przetwarzania zmiany hasła przesłanej przez jedną z akcji formularza. Umożliwia to nieuwierzytelnionym atakującym ustawienie dowolnego hasła dla dowolnego użytkownika, w tym administratorów, i przejęcie ich konta. Wykorzystanie wymaga, aby witryna miała formularz używający akcji resetowania hasła w trybie aktualizacji; weryfikacja bieżącego hasła po stronie serwera jest domyślnie wyłączona, więc stan podatny jest domyślny po użyciu akcji.
Oryginalny opis (angielski, źródło NVD)
Subscriber Privilege Escalation in Bricksforge <= 3.1.8.8 versions.