CVE-2026-86779

NiskieCVSS 2.7

Opublikowano: 11/09/2026(UTC)Zaktualizowano: 11/09/2026(UTC)Przetłumaczono: 11/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.13%

Percentyl 3 - wyżej niż 3% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress Visualizer przed wersją 4.0.6 nieprawidłowo autoryzuje żądania usunięcia wykresu, wykonując jedynie sprawdzenie uprawnień na poziomie całej witryny bez weryfikacji własności obiektu. Umożliwia to użytkownikom z rolą współtwórcy i wyższymi trwałe usunięcie dowolnego wykresu w witrynie, w tym wykresów utworzonych przez innych użytkowników, takich jak administratorzy.

Ocena ryzyka

Użytkownik z uprawnieniami współtwórcy może trwale usunąć wykresy należące do innych osób, w tym administratorów, co prowadzi do utraty danych i zakłócenia pracy witryny. Może to być wykorzystane do działań sabotażowych.

Rekomendacja

Zaktualizuj wtyczkę Visualizer do wersji 4.0.6 lub nowszej. Do czasu aktualizacji rozważ ograniczenie roli współtwórców lub wykonanie kopii zapasowej wykresów.

Inne podatności w Visualizer WordPress plugin

CVE-2026-14939Średnie
Wtyczka Visualizer do WordPressa przed wersją 4.0.6 nie ogranicza adresu URL podanego przez użytkownika do bezpiecznych zakresów adresów przed pobraniem go po stronie serwera, co pozwala użytkownikom z dostępem na poziomie Współautor (Contributor) i wyższym na przeprowadzenie ataku SSRF (Server-Side Request Forgery) przeciwko punktom końcowym metadanych instancji w sieci link-local. Ponieważ odpowiedź jest zwracana w odpowiedzi, atak nie jest ślepy, co umożliwia pobranie metadanych instancji chmury (w tym poświadczeń IAM) na stronach hostowanych w chmurze.

Oryginalny opis (angielski, źródło NVD)

The Visualizer WordPress plugin before 4.0.6 does not properly authorise chart-deletion requests, performing only a site-wide capability check with no per-object ownership verification, allowing users with the Contributor role and above to permanently delete any chart on the site, including charts created by other users such as administrators.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS