CVE-2026-84926
NiskieCVSS 2.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka EmbedPress dla WordPressa przed wersją 4.6.4 nie ogranicza prawidłowo dostępu do jednej z tras REST dotyczących opinii Google, umożliwiając każdemu zalogowanemu użytkownikowi z rolą współautora lub wyższą odczytanie adresu e-mail administratora witryny, który to adres WordPress domyślnie ukrywa przed tą rolą.
Ocena ryzyka
Ujawnienie adresu e-mail administratora może ułatwić ataki phishingowe lub socjotechniczne skierowane do administratora, zwiększając ryzyko naruszenia bezpieczeństwa witryny.
Rekomendacja
Zaktualizuj wtyczkę EmbedPress do wersji 4.6.4 lub nowszej, która zawiera poprawkę ograniczającą dostęp do trasy REST.
Inne podatności w EmbedPress
Zobacz wszystkie- CVE-2026-84936Średnie
Wtyczka EmbedPress dla WordPressa przed wersją 4.6.4 nie ma odpowiedniej autoryzacji na publicznej akcji ładowania recenzji, co pozwala nieuwierzytelnionym użytkownikom na zmuszanie witryny do wielokrotnych, płatnych żądań API do zewnętrznych usług przy użyciu skonfigurowanego klucza API oraz tworzenie nieograniczonej liczby wierszy w bazie danych kontrolowanych przez atakującego.
- CVE-2026-84927Niskie
Wtyczka EmbedPress dla WordPressa przed wersją 4.6.4 nie wykonuje wystarczającej kontroli autoryzacji na jednej z tras API Google Reviews REST, co pozwala użytkownikom z rolą Współautora i wyższą na modyfikację ogólnowitrynowego sklepu, usuwanie wpisów skonfigurowanych przez administratora i wstrzykiwanie własnych, które są publicznie renderowane w całej witrynie.
- CVE-2026-61961Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce EmbedPress w wersjach do 4.5.6 włącznie.
- CVE-2026-10526Średnie
Wtyczka EmbedPress dla WordPressa przed wersją 4.6.1 nie weryfikuje adresów URL dostarczanych przez użytkownika przed wykonaniem żądań po stronie serwera przez nieuwierzytelnione punkty końcowe. Umożliwia to nieuwierzytelnionym atakującym skłonienie witryny do wysyłania żądań HTTP do wewnętrznych hostów i usług, których walidacja URL rdzenia WordPressa nie obejmuje (niewidomy Server-Side Request Forgery).
- CVE-2026-48872Wysokie
W wersjach EmbedPress do 4.5.2 występuje podatność na nieautoryzowany dostęp do wrażliwych danych.
- CVE-2026-7796Średnie
Wtyczka EmbedPress – PDF Embedder, Embed PDF viewer, YouTube Videos, 3D FlipBook, Social feeds & more do WordPress do wersji 4.5.3 zawiera podatność na Stored Cross-Site Scripting przez atrybut 'url' bloku. Uwierzytelnieni atakujący z dostępem na poziomie autora mogą wstrzyknąć dowolny skrypt, który wykona się przy każdym odwiedzeniu strony.
Oryginalny opis (angielski, źródło NVD)
The EmbedPress WordPress plugin before 4.6.4 does not correctly restrict access to one of its Google Reviews REST routes to administrators, allowing any authenticated user with contributor-level access or above to read the site administrator's email address, a value WordPress core withholds from that role.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS