CVE-2026-87888

WysokieCVSS 8.0

Opublikowano: 12/09/2026(UTC)Zaktualizowano: 14/09/2026(UTC)Przetłumaczono: 12/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 13 - wyżej niż 13% wszystkich znanych CVE

Streszczenie

Wtyczka YayPricing dla WordPressa w wersji przed 3.5.7 nie wykonuje sprawdzenia autoryzacji w trasie REST, która zapisuje reguły cenowe. Umożliwia to użytkownikom z rolą subskrybenta i wyższą zapisanie kodu JavaScript, który wykonuje się w przeglądarce administratora otwierającego stronę ustawień wtyczki YayPricing.

Ocena ryzyka

Użytkownik z rolą subskrybenta może wstrzyknąć złośliwy JavaScript, który wykona się w przeglądarce administratora, potencjalnie prowadząc do przejęcia konta administratora. Ryzyko dla bezpieczeństwa witryny jest wysokie.

Rekomendacja

Zaktualizuj wtyczkę do wersji 3.5.7 lub nowszej, aby naprawić brak sprawdzenia autoryzacji.

Inne podatności w YayPricing

CVE-2026-66442Średnie
Wtyczka YayPricing w wersji do 3.5.6 ma podatność Broken Access Control z poziomu subskrybenta. Umożliwia to nieautoryzowany dostęp do funkcji lub danych.

Oryginalny opis (angielski, źródło NVD)

The YayPricing WordPress plugin before 3.5.7 does not perform an authorization check on a REST route that saves its pricing rules, allowing users with the subscriber role and above to store JavaScript that executes in the browser of an administrator who opens the YayPricing WordPress plugin before 3.5.7's settings page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS