CVE-2026-89300

ŚrednieCVSS 5.3

Opublikowano: 28/09/2026(UTC)Zaktualizowano: 28/09/2026(UTC)Przetłumaczono: 28/09/2026(UTC)NVD NIST

Streszczenie

Wtyczka WP Verify API do WordPressa do wersji 1.0.0 nie ma sprawdzenia autoryzacji w jednej ze swoich tras REST, co pozwala nieuwierzytelnionym użytkownikom na wstawianie dowolnych danych do własnej tabeli bazy danych oraz na wysyłanie szablonowych e-maili weryfikacyjnych na dowolne adresy e-mail. Trasa nie jest również ograniczona limitem żądań.

Ocena ryzyka

Nieuwierzytelniony atakujący może zaśmiecać bazę danych fałszywymi danymi, co może prowadzić do utraty integralności danych, a także wykorzystywać serwer do wysyłania niechcianych e-maili (spam), co może zaszkodzić reputacji domeny.

Rekomendacja

Zaktualizuj wtyczkę WP Verify API do najnowszej wersji z poprawką lub wyłącz trasę REST, jeśli nie jest używana. Dodatkowo rozważ wprowadzenie limitów żądań.

Inne podatności w WP Verify API WordPress plugin

CVE-2026-89299Wysokie
Wtyczka WordPress WP Verify API w wersji do 1.0.0 nieprawidłowo oczyszcza i escapuje parametr przed użyciem go w zapytaniu SQL. Umożliwia to nieuwierzytelnionym użytkownikom przeprowadzenie ataków SQL injection.

Oryginalny opis (angielski, źródło NVD)

The WP Verify API WordPress plugin through 1.0.0 does not have any authorisation check in one of its REST routes, allowing unauthenticated users to insert arbitrary data into its own database table, as well as to make the site send templated verification emails to arbitrary email addresses. The route is not rate limited either.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS