CVE-2026-88927

Podatność na wstrzyknięcie SQL z uprawnieniami subskrybenta we wtyczce rtMedia for WordPress, BuddyPress and bbPress do wersji 4.7.10. Umożliwia użytkownikowi z rolą subskrybenta wykonanie dowolnych zapytań SQL.

Wtyczka rtMedia for WordPress, BuddyPress and bbPress (buddypress-media) do wersji 4.7.13 zawiera podatność typu Path Traversal wynikającą z nieprawidłowego ograniczenia ścieżki do katalogu. Umożliwia to atakującemu dostęp do plików spoza dozwolonego katalogu.

Wtyczka rtMedia dla WordPress, BuddyPress i bbPress do wersji 4.7.13 włącznie jest podatna na ograniczone usuwanie plików z powodu niewystarczającej walidacji ścieżek w funkcji process. Nieuwierzytelnieni atakujący mogą usuwać dowolne bezpieczne pliki na serwerze, wykorzystując publiczny nonce dostępny w JavaScript na stronach z galerią rtMedia.

Wtyczka WordPress rtMedia for WordPress, BuddyPress and bbPress w wersji przed 4.7.12 nie sprawdza właściciela przed zmianą poziomu prywatności aktywności i powiązanych mediów. Opiera się tylko na nonce współdzielonym przez wszystkich zalogowanych użytkowników, co pozwala użytkownikom z kontem subskrybenta lub wyższym na upublicznienie lub ukrycie prywatnej aktywności innego użytkownika.

Wtyczka rtMedia dla WordPress, BuddyPress i bbPress jest podatna na czasową iniekcję SQL przez parametr order_by we wszystkich wersjach do 4.6.18 włącznie. Podatność wynika z niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL.

Wersje rtMedia dla WordPress, BuddyPress i bbPress do 4.7.9 mają lukę w kontroli dostępu, która może umożliwić nieautoryzowanym subskrybentom dostęp do zasobów.