CVE-2026-87759
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Add User Autocomplete w wersji przed 1.2 nie sprawdza uprawnień ani nonce przed utworzeniem oczekującego zaproszenia do członkostwa w witrynie z rolą podaną przez wywołującego. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, przyznanie sobie roli administratora w instalacji multisite.
Ocena ryzyka
Użytkownik o niskich uprawnieniach może eskalować uprawnienia do administratora, co prowadzi do pełnego przejęcia witryny w instalacji multisite.
Rekomendacja
Zaktualizuj wtyczkę Add User Autocomplete do wersji 1.2 lub nowszej. Sprawdź, czy nie powstały nieautoryzowane zaproszenia lub konta z podwyższonymi uprawnieniami.
Powiązane podatności
- CVE-2026-112197Krytyczne
Aplikacja NoviGest Desktop posiada usługę Java RMI bez uwierzytelniania w krytycznych funkcjach. Atakujący z dostępem sieciowym może wywoływać zdalne metody bez logowania, pozyskiwać poufne dane uwierzytelniające oraz wykonywać dowolne zapytania SQL na PostgreSQL. Wysokie uprawnienia konta bazy danych pozwalają na łańcuchowe wykorzystanie do wykonania poleceń systemu operacyjnego na serwerze.
- CVE-2026-103799Krytyczne
Dell PowerProtect Data Domain Management Center zawiera podatność typu Missing Authorization. Nisko uprzywilejowany atakujący z dostępem zdalnym może ją wykorzystać do nieautoryzowanych operacji systemowych na zarządzanych systemach.
- CVE-2026-103792Krytyczne
Dell PowerProtect Data Domain Management Center zawiera podatność SQL Injection. Nisko uprzywilejowany atakujący z dostępem zdalnym może ją wykorzystać do nieautoryzowanego dostępu do zarządzanych systemów.
- CVE-2026-103780Krytyczne
Dell PowerProtect Data Domain zawiera podatność przepełnienia bufora na stosie. Nieuwierzytelniony atakujący z dostępem zdalnym może ją wykorzystać do wykonania poleceń.
- CVE-2026-86384Krytyczne
Dell PowerProtect Data Domain zawiera podatność polegającą na użyciu zaszytego na stałe klucza kryptograficznego. Nieuwierzytelniony atakujący z dostępem zdalnym może wykorzystać tę lukę, co prowadzi do ujawnienia poświadczeń.
- CVE-2026-14571Krytyczne
W oprogramowaniu zarządzającym Futurum Software występuje podatność Blind SQL Injection wynikająca z niewystarczającej walidacji i sanityzacji danych wejściowych w zapytaniach do bazy danych obszaru prywatnego oraz z błędnej konfiguracji WAF. Luka pozwala obejść mechanizmy ochronne poprzez wysłanie spreparowanych żądań HTTP.
- CVE-2026-90717Krytyczne
Dell PowerProtect Data Domain Management Center zawiera podatność polegającą na obejściu uwierzytelniania poprzez podszywanie się (spoofing). Niskouprzywilejowany atakujący z dostępem zdalnym może ją wykorzystać do podniesienia uprawnień, co może wpłynąć również na inne zarządzane systemy Data Domain.
- CVE-2026-86400Krytyczne
Dell PowerProtect Data Domain zawiera podatność nieprawidłowego uwierzytelniania. Nieuwierzytelniony atakujący z dostępem zdalnym może ją wykorzystać do wykonania dowolnych poleceń z uprawnieniami roota, co pozwala na całkowite przejęcie kontroli nad systemem.
- CVE-2026-86397Krytyczne
Dell PowerProtect Data Domain zawiera podatność nieprawidłowego uwierzytelniania. Nieuwierzytelniony atakujący z dostępem zdalnym może ją wykorzystać do utworzenia konta uprzywilejowanego, co prowadzi do całkowitego przejęcia kontroli nad systemem.
- CVE-2026-109218Krytyczne
Wtyczka Contact Manager dla WordPressa w wersjach do 9.1.2 włącznie jest podatna na dowolne przesyłanie plików przez funkcję add_message. Niekompletna czarna lista rozszerzeń pozwala obejść walidację za pomocą końcowej kropki, co umożliwia nieuwierzytelnionym atakującym przesłanie plików wykonywalnych i potencjalne zdalne wykonanie kodu.
Oryginalny opis (angielski, źródło NVD)
The Add User Autocomplete WordPress plugin before 1.2 does not perform any capability or nonce check before creating a pending site-membership invitation carrying a caller-supplied role, allowing any authenticated user, such as a subscriber, to grant themselves the administrator role on a multisite installation.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS