CVE-2026-85574

WysokieCVSS 8.0

Opublikowano: 19/09/2026(UTC)Zaktualizowano: 21/09/2026(UTC)Przetłumaczono: 19/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

Wtyczka Unbounce Landing Pages dla WordPressa przed wersją 1.1.5 nie przeprowadza żadnej kontroli autoryzacji podczas aktualizacji konfiguracji, na której opiera się jej proxy front-end, co pozwala każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, na skierowanie tego proxy na kontrolowany przez siebie host i serwowanie dowolnych treści z własnego origin witryny.

Ocena ryzyka

Atakujący może podmienić treści serwowane przez witrynę, co może prowadzić do phishingu, rozprzestrzeniania złośliwego oprogramowania lub utraty zaufania użytkowników.

Rekomendacja

Zaktualizuj wtyczkę do wersji 1.1.5 lub nowszej. Ogranicz uprawnienia użytkowników i monitoruj konfigurację proxy pod kątem nieautoryzowanych zmian.

Inne podatności w Unbounce Landing Pages

CVE-2026-81781Wysokie
Brak autoryzacji w wtyczce Unbounce Landing Pages w wersjach do 1.1.4. Umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu, co może prowadzić do nieautoryzowanych działań.

Oryginalny opis (angielski, źródło NVD)

The Unbounce Landing Pages WordPress plugin before 1.1.5 does not perform any authorisation check when updating the configuration its front-end proxy relies on, allowing any authenticated user, such as a subscriber, to point that proxy at a host they control and have arbitrary content served from the site's own origin.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS