CVE-2026-88798
NieznaneStreszczenie
Wtyczka Really Simple Security dla WordPressa przed wersją 9.8.3 nie weryfikuje wartości adresu dostarczonej przez klienta przed użyciem jej jako klucza przechowywania w jednej z własnych opcji, co pozwala nieuwierzytelnionym atakującym na nieograniczone zwiększanie tej opcji i spowalnianie obsługi nieistniejących stron.
Ocena ryzyka
Atakujący może spowodować przeciążenie bazy danych lub spowolnienie działania witryny, co może prowadzić do niedostępności usługi dla użytkowników.
Rekomendacja
Zaktualizuj wtyczkę Really Simple Security do wersji 9.8.3 lub nowszej, która zawiera poprawkę walidacji adresu.
Inne podatności w Really Simple Security
Zobacz wszystkie- CVE-2026-82519Średnie
Wtyczka Really Simple Security dla WordPressa przed wersją 9.8.2 zawiera podatność polegającą na braku kontroli autoryzacji, co pozwala uwierzytelnionym atakującym z niskimi uprawnieniami na ominięcie wymuszonego uwierzytelniania dwuskładnikowego (2FA) w nieskończoność. Atakujący może wysłać spreparowane żądanie POST bez pola 2FA, aby pominąć weryfikację nonce i zresetować znacznik czasu okresu przejściowego.
- CVE-2026-81766Średnie
Wtyczka Really Simple Security dla WordPressa przed wersją 9.8.0 nie sprawdza, czy użytkownik ma uprawnienia do instalowania wtyczek, co pozwala administratorowi podstrony w sieci multisite na instalację i wykonanie dowolnego kodu w katalogu wtyczki współdzielonym przez sieć. Wykorzystanie wymaga włączenia przez administratora sieci menu administracyjnego wtyczki dla podstron, co nie jest domyślne.
Oryginalny opis (angielski, źródło NVD)
The Really Simple Security WordPress plugin before 9.8.3 does not validate a client-supplied address value before using it as a storage key in one of its own options, allowing unauthenticated attackers to grow that option without bound and to slow the site's handling of missing pages.