CVE-2026-9004

ŚrednieCVSS 4.3

Opublikowano: 22/09/2026(UTC)Zaktualizowano: 22/09/2026(UTC)Przetłumaczono: 22/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

Wtyczka WP-CRM System dla WordPressa w wersjach do 3.4.6 włącznie jest podatna na ujawnienie poufnych informacji poprzez parametr 'contact_id'. Uwierzytelniony atakujący z uprawnieniami współpracownika lub wyższymi może wyliczać ten parametr i wyciągać dane kontaktowe CRM, takie jak imiona i nazwiska, adresy e-mail, numery telefonów, faksów oraz adresy.

Ocena ryzyka

Atakujący może masowo pozyskiwać dane osobowe klientów zapisanych w CRM, co prowadzi do naruszenia prywatności i potencjalnych konsekwencji prawnych (RODO).

Rekomendacja

Zaktualizuj wtyczkę WP-CRM System do wersji nowszej niż 3.4.6, gdy tylko będzie dostępna, a do tego czasu ogranicz dostęp do ról z uprawnieniami współpracownika.

Inne podatności w WP-CRM System

CVE-2025-62740Średnie
System WP-CRM System zawiera lukę braku autoryzacji, która pozwala wykorzystać nieprawidłowo skonfigurowane poziomy kontroli dostępu. Problem dotyczy wersji do 3.4.6 włącznie.

Oryginalny opis (angielski, źródło NVD)

The WP-CRM System – Manage Clients and Projects plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 3.4.6 via the 'contact_id' parameter. This makes it possible for authenticated attackers, with contributor-level access and above, to extract full names, email addresses, phone numbers, mobile numbers, fax numbers, and physical address information of arbitrary CRM contact records by enumerating the contact_id parameter.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS