CVE-2026-86787
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka affiliate-toolkit dla WordPressa przed wersją 3.9.1 nie uniemożliwia użytkownikowi z niskimi uprawnieniami dostarczenia treści szablonu, którą jej wbudowany silnik szablonów kompiluje i wykonuje jako PHP, co pozwala użytkownikom z rolą Współautor lub wyższą na uruchamianie dowolnego kodu PHP na serwerze.
Ocena ryzyka
Atakujący może wykonać dowolny kod PHP na serwerze, co może prowadzić do całkowitego przejęcia witryny, kradzieży danych lub zainstalowania backdoorów.
Rekomendacja
Zaktualizuj wtyczkę affiliate-toolkit do wersji 3.9.1 lub nowszej, która zawiera poprawkę uniemożliwiającą wykonywanie kodu PHP z szablonów.
Inne podatności w affiliate-toolkit WordPress plugin
Zobacz wszystkie- CVE-2026-110179Nieznane
Wtyczka WordPress affiliate-toolkit w wersji przed 3.8.9 nie waliduje wartości sortowania podanej przez użytkownika względem listy dozwolonych przed użyciem jej w zapytaniu do bazy danych, a ekran listy administracyjnej wymaga jedynie niższych uprawnień niż administrator. Umożliwia to użytkownikom z dostępem na poziomie edytora i wyższym przeprowadzenie wstrzyknięcia SQL i odczyt dowolnych informacji z bazy danych. W trybie multisite edytor podwitryny może odczytać globalną tabelę użytkowników sieci, w tym hash hasła superadministratora.
- CVE-2026-12743Średnie
Wtyczka affiliate-toolkit dla WordPressa, do wersji 3.8.8 włącznie, jest podatna na czasowe wstrzyknięcie SQL przez parametr 'orderby'. Podatność wynika z niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem administratora i wyższym dołączanie dodatkowych zapytań SQL do istniejących, co może prowadzić do wyciągnięcia wrażliwych informacji z bazy danych.
Oryginalny opis (angielski, źródło NVD)
The affiliate-toolkit WordPress plugin before 3.9.1 does not prevent a low-privileged user from supplying a template body that its bundled templating engine compiles and executes as PHP, allowing users with the Contributor role or above to run arbitrary PHP code on the server.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS