CVE-2026-86782
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka Visualizer dla WordPressa w wersjach przed 4.0.6 nieprawidłowo autoryzuje dostęp do działań związanych z budowaniem wykresów. Umożliwia to użytkownikom z rolą Contributor i wyższą publikowanie, zmianę nazw i nadpisywanie treści wpisów i stron, których nie są właścicielami, w tym prywatnych szkiców innych użytkowników.
Ocena ryzyka
Użytkownik z niskimi uprawnieniami może modyfikować lub publikować treści należące do innych osób, w tym prywatne szkice, co prowadzi do naruszenia integralności treści witryny.
Rekomendacja
Zaktualizuj wtyczkę Visualizer do wersji 4.0.6 lub nowszej i przejrzyj uprawnienia użytkowników z rolą Contributor.
Inne podatności w Visualizer
Zobacz wszystkie- CVE-2026-86784Średnie
Wtyczka WordPress Visualizer w wersji przed 4.0.8 nie sanityzuje ani nie escapuje konfiguracji źródła danych JSON wykresu przed wyświetleniem jej w edytorze wykresów. Użytkownicy z rolą Contributor i wyższą mogą zapisać JavaScript, który wykonuje się w przeglądarce każdego użytkownika o wyższych uprawnieniach, np. administratora, przeglądającego dotknięty wykres.
- CVE-2026-19726Średnie
Wtyczka Visualizer dla WordPressa przed wersją 4.0.7 nieprawidłowo autoryzuje dostęp do konfiguracji wykresów, umożliwiając użytkownikom z rolą Współautor i wyżej odczytanie pełnej konfiguracji dowolnego wykresu na stronie, w tym wykresów, do których interfejs wtyczki nie daje im dostępu, oraz pobranie konfiguracji wszystkich wykresów w jednym żądaniu. Ujawniona konfiguracja może zawierać poświadczenia zdalnego źródła danych.
- CVE-2026-65526Wysokie
Wtyczka Visualizer dla WordPressa (wersje do 4.0.1 włącznie) zawiera podatność na blind SQL Injection przez niewłaściwe neutralizowanie specjalnych elementów w zapytaniach SQL.
- CVE-2026-24573Średnie
Wtyczka WordPress Visualizer przed wersją 4.0.0 zawiera podatność na trwałe XSS (Stored Cross-Site Scripting) z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania strony.
Oryginalny opis (angielski, źródło NVD)
The Visualizer WordPress plugin before 4.0.6 does not properly authorise access to its chart-building actions, allowing users with the Contributor role and above to publish, rename, and overwrite the content of posts and pages they do not own, including other users' private drafts.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS