CVE-2026-86608
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress WP Recipe Maker w wersji przed 10.8.2 nie sprawdza uprawnień w jednej ze swoich tras REST i nie ogranicza ilości danych, które ta trasa zapisuje. Umożliwia to nieuwierzytelnionym użytkownikom zapisanie nieograniczonej ilości danych do metadanych dowolnego użytkownika oraz trwałe uniemożliwienie załadowania konta, w tym konta administratora.
Ocena ryzyka
Atakujący może bez logowania uszkodzić konta użytkowników, w tym administratora, co prowadzi do blokady dostępu do panelu WordPress i potencjalnego paraliżu zarządzania witryną.
Rekomendacja
Zaktualizuj wtyczkę WP Recipe Maker do wersji 10.8.2 lub nowszej. Do czasu aktualizacji rozważ ograniczenie dostępu do REST API lub wyłączenie wtyczki.
Inne podatności w WP Recipe Maker
Zobacz wszystkie- CVE-2026-89274Krytyczne
Wtyczka WP Recipe Maker dla WordPressa (wersje do 10.8.1 włącznie) pozwala na wykonanie dowolnych shortcode'ów. Funkcja sanitize_metadata() rekurencyjnie wywołuje do_shortcode() na polach metadanych przepisu, w tym na polu reviewBody pochodzącym z treści komentarzy, bez wcześniejszego oczyszczenia. Nieuwierzytelniony atakujący może wykonać dowolne zarejestrowane shortcode'y przy każdym renderowaniu strony przepisu, ujawniając dane w metadanych JSON-LD.
- CVE-2026-86601Średnie
Wtyczka WP Recipe Maker dla WordPressa przed wersją 10.8.2 nie usuwa shortcode'ów z treści komentarzy przed ich rozwinięciem podczas budowania strukturalnych metadanych strony. Umożliwia to niezalogowanym użytkownikom wykonanie dowolnych shortcode'ów po stronie serwera oraz odczyt treści nieopublikowanych przepisów.
- CVE-2026-90884Średnie
Wtyczka WP Recipe Maker dla WordPressa jest podatna na Stored Cross-Site Scripting przez parametr 'notes' we wszystkich wersjach do 10.8.1 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie Contributor i wyżej mogą wstrzykiwać dowolne skrypty webowe.
- CVE-2026-75905Średnie
Wtyczka WP Recipe Maker dla WordPressa do wersji 10.8.0 włącznie jest podatna na obejście autoryzacji. Uwierzytelnieni atakujący z dostępem na poziomie współautora i wyższym mogą przejąć własność przepisów stworzonych przez administratorów oraz je opublikować.
Oryginalny opis (angielski, źródło NVD)
The WP Recipe Maker WordPress plugin before 10.8.2 does not have any authorisation check in one of its REST routes, nor does it bound what that route stores, allowing unauthenticated users to write unlimited data into any user's metadata and to permanently prevent that account, including an administrator's, from loading.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS