CVE-2026-84936
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka EmbedPress dla WordPressa przed wersją 4.6.4 nie ma odpowiedniej autoryzacji na publicznej akcji ładowania recenzji, co pozwala nieuwierzytelnionym użytkownikom na zmuszanie witryny do wielokrotnych, płatnych żądań API do zewnętrznych usług przy użyciu skonfigurowanego klucza API oraz tworzenie nieograniczonej liczby wierszy w bazie danych kontrolowanych przez atakującego.
Ocena ryzyka
Ryzyko obejmuje koszty finansowe związane z płatnymi wywołaniami API, przeciążenie bazy danych oraz potencjalne uszkodzenie integralności danych.
Rekomendacja
Zaktualizuj wtyczkę do wersji 4.6.4 lub nowszej. Dodatkowo monitoruj użycie API i ogranicz dostęp do publicznych akcji, jeśli to możliwe.
Inne podatności w EmbedPress
Zobacz wszystkie- CVE-2026-84927Niskie
Wtyczka EmbedPress dla WordPressa przed wersją 4.6.4 nie wykonuje wystarczającej kontroli autoryzacji na jednej z tras API Google Reviews REST, co pozwala użytkownikom z rolą Współautora i wyższą na modyfikację ogólnowitrynowego sklepu, usuwanie wpisów skonfigurowanych przez administratora i wstrzykiwanie własnych, które są publicznie renderowane w całej witrynie.
- CVE-2026-84926Niskie
Wtyczka EmbedPress dla WordPressa przed wersją 4.6.4 nie ogranicza prawidłowo dostępu do jednej z tras REST dotyczących opinii Google, umożliwiając każdemu zalogowanemu użytkownikowi z rolą współautora lub wyższą odczytanie adresu e-mail administratora witryny, który to adres WordPress domyślnie ukrywa przed tą rolą.
- CVE-2026-61961Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce EmbedPress w wersjach do 4.5.6 włącznie.
- CVE-2026-10526Średnie
Wtyczka EmbedPress dla WordPressa przed wersją 4.6.1 nie weryfikuje adresów URL dostarczanych przez użytkownika przed wykonaniem żądań po stronie serwera przez nieuwierzytelnione punkty końcowe. Umożliwia to nieuwierzytelnionym atakującym skłonienie witryny do wysyłania żądań HTTP do wewnętrznych hostów i usług, których walidacja URL rdzenia WordPressa nie obejmuje (niewidomy Server-Side Request Forgery).
- CVE-2026-48872Wysokie
W wersjach EmbedPress do 4.5.2 występuje podatność na nieautoryzowany dostęp do wrażliwych danych.
- CVE-2026-7796Średnie
Wtyczka EmbedPress – PDF Embedder, Embed PDF viewer, YouTube Videos, 3D FlipBook, Social feeds & more do WordPress do wersji 4.5.3 zawiera podatność na Stored Cross-Site Scripting przez atrybut 'url' bloku. Uwierzytelnieni atakujący z dostępem na poziomie autora mogą wstrzyknąć dowolny skrypt, który wykona się przy każdym odwiedzeniu strony.
Oryginalny opis (angielski, źródło NVD)
The EmbedPress WordPress plugin before 4.6.4 does not have proper authorization on a public review-loading action, allowing unauthenticated users to force the site to make repeated billable third-party API requests using the site's own configured API key, and to create an unbounded number of attacker-controlled rows in the database.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS