CVE-2026-86789
ŚrednieCVSS 5.3Streszczenie
Wtyczka Connections Business Directory dla WordPressa do wersji 10.4.67 nie stosuje ograniczeń widoczności i statusu moderacji na niektórych punktach końcowych API REST do odczytu. Umożliwia to nieuwierzytelnionym atakującym pobieranie wpisów katalogu oznaczonych jako prywatne lub niepubliczne, lub oczekujących na moderację, w tym nazwy wpisów, organizacje, biografie, notatki wewnętrzne i adresy ulic. Wtyczka została zamknięta na WordPress.org i nie jest dostępna żadna wersja z poprawką, więc właściciele witryn powinni ją usunąć lub ograniczyć nieuwierzytelniony dostęp do jej tras API REST.
Ocena ryzyka
Ujawnienie prywatnych i niepublicznych danych katalogu, w tym danych osobowych, co może naruszać prywatność i przepisy o ochronie danych.
Rekomendacja
Usuń wtyczkę Connections Business Directory lub ogranicz nieuwierzytelniony dostęp do jej tras API REST, ponieważ nie jest dostępna poprawka.
Powiązane podatności
- CVE-2026-120345Krytyczne
W urządzeniu WAVLINK WN551X3-A wykryto podatność w funkcji sub_41a430 pliku /bin/ioos, w komponencie obsługi rozwiązywania nazw DNS. Manipulacja argumentem data prowadzi do wstrzyknięcia poleceń systemu operacyjnego, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2025-11969Krytyczne
Interfejsy System REST API nie egzekwują poprawnie mechanizmów kontroli dostępu, umożliwiając użytkownikom z niższymi uprawnieniami wykonywanie akcji administracyjnych, które powinny być zastrzeżone. Luka pozwala na nieautoryzowane operacje na produkcie. API udostępniane przez API Gateway w WSO2 API Manager nie są objęte tą podatnością.
- CVE-2026-120344Krytyczne
W urządzeniu WAVLINK WN551X3-A wykryto podatność w funkcji system pliku /bin/ioos, w komponencie obsługi grup WireGuard CLI. Manipulacja argumentem group_name prowadzi do wstrzyknięcia poleceń systemu operacyjnego, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-120322Krytyczne
W Termix-SSH Termix do wersji 2.9.2 wykryto podatność w pliku /plugin-api/file-manager/transferToHost. Manipulacja argumentem destPath prowadzi do path traversal, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny i może być wykorzystywany.
- CVE-2026-120283Krytyczne
W urządzeniu Linksys E8450 (wersja 1.2.00.360516) wykryto podatność w funkcji strcpy w pliku /www/cgi-bin/portal.cgi. Manipulacja argumentem hidden_timezone prowadzi do przepełnienia bufora na stosie. Atak można przeprowadzić zdalnie, a producent nie odpowiedział na zgłoszenie.
- CVE-2026-120282Krytyczne
W urządzeniu WAVLINK WN536AX6-A (wersja V260507) wykryto podatność w funkcji host_black w pliku /protocol.csp. Manipulacja argumentem mac prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Exploit został publicznie ujawniony i może być wykorzystany zdalnie.
- CVE-2026-120281Krytyczne
W urządzeniu WAVLINK WN536AX6-A (wersja V260507) w komponencie OpenVPN Handler wykryto podatność w funkcji strcpy w pliku /protocol.csp. Manipulacja argumentem openvpn_ip powoduje przepełnienie bufora na stosie. Exploit został upubliczniony i atak można przeprowadzić zdalnie.
- CVE-2026-120280Krytyczne
W urządzeniu WAVLINK WN536AX6-A (wersja V260507) w komponencie WireGuard wykryto podatność w funkcji wireguard_cli_group w pliku /protocol.csp. Manipulacja argumentami group_id/group_name prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Exploit został ujawniony publicznie i atak można zainicjować zdalnie.
- CVE-2026-120279Krytyczne
W urządzeniu WAVLINK WN536AX6-A (wersja V260507) w komponencie openvpn_cli Handler wykryto podatność w nieznanej funkcji pliku /protocol.csp. Manipulacja argumentem file_id prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Exploit został opublikowany i atak można przeprowadzić zdalnie.
- CVE-2026-120277Krytyczne
W urządzeniu WAVLINK WN536AX6-A (wersja V260507_2.0.0) wykryto podatność w funkcji sub_41a1d8 pliku /bin/ioos, związanej z obsługą grupy WireGuard CLI. Manipulacja argumentem group_name prowadzi do wstrzyknięcia poleceń systemowych (OS command injection). Podatność można wykorzystać zdalnie, a publiczny exploit jest już dostępny.
Oryginalny opis (angielski, źródło NVD)
The Connections Business Directory WordPress plugin through 10.4.67 does not apply its visibility and moderation-status restrictions on certain REST API read endpoints, allowing unauthenticated attackers to retrieve directory entries that are marked private or unlisted, or that are still pending moderation, including entry names, organizations, biographies, internal notes and street addresses. The Connections Business Directory WordPress plugin through 10.4.67 has been closed on WordPress.org and no fixed version is available, so site owners should remove it or restrict unauthenticated access to its REST API routes.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS