CVE-2026-88912
ŚrednieCVSS 4.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress rtMedia for WordPress, BuddyPress and bbPress w wersji przed 4.7.12 nie sprawdza właściciela przed zmianą poziomu prywatności aktywności i powiązanych mediów. Opiera się tylko na nonce współdzielonym przez wszystkich zalogowanych użytkowników, co pozwala użytkownikom z kontem subskrybenta lub wyższym na upublicznienie lub ukrycie prywatnej aktywności innego użytkownika.
Ocena ryzyka
Użytkownicy o niskich uprawnieniach mogą zmieniać prywatność treści innych osób, co prowadzi do naruszenia prywatności i potencjalnego wycieku danych. Może to podważyć zaufanie do platformy społecznościowej.
Rekomendacja
Zaktualizuj wtyczkę rtMedia do wersji 4.7.12 lub nowszej. Sprawdź, czy nie doszło do nieautoryzowanych zmian prywatności aktywności.
Inne podatności w rtMedia for WordPress, BuddyPress and bbPress
Zobacz wszystkie- CVE-2026-59551Wysokie
Podatność na wstrzyknięcie SQL z uprawnieniami subskrybenta we wtyczce rtMedia for WordPress, BuddyPress and bbPress do wersji 4.7.10. Umożliwia użytkownikowi z rolą subskrybenta wykonanie dowolnych zapytań SQL.
- CVE-2026-15287Średnie
Wtyczka rtMedia dla WordPress, BuddyPress i bbPress jest podatna na czasową iniekcję SQL przez parametr order_by we wszystkich wersjach do 4.6.18 włącznie. Podatność wynika z niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL.
- CVE-2026-40773Średnie
Wersje rtMedia dla WordPress, BuddyPress i bbPress do 4.7.9 mają lukę w kontroli dostępu, która może umożliwić nieautoryzowanym subskrybentom dostęp do zasobów.
Oryginalny opis (angielski, źródło NVD)
The rtMedia for WordPress, BuddyPress and bbPress WordPress plugin before 4.7.12 does not check ownership before changing the privacy level of an activity and its attached media, relying only on a nonce shared with every logged-in user, allowing users with a subscriber-level account or above to make another user's private activity public or hide it.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS