CVE-2026-9008
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka Page-list dla WordPressa w wersjach do 6.2 włącznie ma lukę w autoryzacji. Funkcja pagelist_unqprfx_ext_shortcode() akceptuje atrybuty post_status, post_type i show_meta_key kontrolowane przez atakującego i przekazuje je do get_pages() i get_post_meta() bez sprawdzania uprawnień. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym ujawnienie tytułów, treści i metadanych prywatnych i szkicowych stron poprzez wstawienie shortcode do swojego szkicu i podgląd go.
Ocena ryzyka
Organizacja ryzykuje wyciek poufnych treści stron, które nie są publiczne, co może naruszyć poufność danych i integralność zarządzania treścią.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Page-list do najnowszej wersji, która usuwa tę lukę, oraz ograniczyć uprawnienia użytkowników do niezbędnego minimum.
Powiązane podatności
- CVE-2026-109321Krytyczne
Wtyczka Grav Login OAuth (grav-plugin-login-oauth) przed wersją 1.4.3 tworzy konta OAuth jako zwykłych użytkowników Grav z deterministyczną nazwą '<provider>.<id>' i hasłem będącym niesolonym hashem MD5 identyfikatora dostawcy, bez wyłączania logowania hasłem. Nieuwierzytelniony zdalny atakujący, który pozna lub odgadnie identyfikator dostawcy, może odtworzyć te poświadczenia i zalogować się, uzyskując kontrolę administracyjną nad uprzywilejowanymi kontami.
- CVE-2026-108914Krytyczne
W urządzeniu Edimax BR-6208AC w wersji 1.32 wykryto podatność w nieznanej funkcji pliku '/goform/formWlSiteSurvey'. Manipulacja argumentem 'ifname' powoduje przepełnienie bufora, które można wykorzystać zdalnie. Exploit został publicznie ujawniony i może być użyty; producent nie odpowiedział na zgłoszenie, a produkt nie jest już wspierany.
- CVE-2026-108907Krytyczne
W urządzeniu Netcore NR268 w wersji 1.7.121109 wykryto podatność w funkcji 'user_ok' komponentu CGI Execution. Manipulacja tą funkcją prowadzi do nieprawidłowego uwierzytelniania, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany; producent nie odpowiedział na zgłoszenie.
- CVE-2026-9191Krytyczne
Progress MarkLogic Server w wersjach 12.x przed 12.1.0 oraz 11.x przed 11.3.7 nie izoluje wystarczająco kodu dostarczonego przez użytkownika, wykonywanego przez niektóre ścieżki ewaluacji REST i XDBC, od stanu żądania HTTP, odpowiedzi i sesji. Atakujący mogący wykonać kod przez podatną ścieżkę może przeprowadzić nieautoryzowane działania lub przejąć uwierzytelnioną sesję.
- CVE-2026-92681Krytyczne
W pakiecie @neo4j/graphql w wersjach do 7.6.3 włącznie dyrektywy @authentication stosowane na poziomie schematu lub na typach Query/Mutation są po cichu ignorowane dla pól najwyższego poziomu oznaczonych @cypher. Egzekwowane są tylko dyrektywy @authentication umieszczone bezpośrednio na poszczególnych polach. Aplikacja wystawiająca pole @cypher najwyższego poziomu i polegająca na ochronie na poziomie schematu lub typu pozwala nieuwierzytelnionym wywołującym uruchomić skonfigurowane zapytanie Cypher z uprawnieniami konta usługi GraphQL, co może umożliwić odczyt i modyfikację danych. Poprawiono w 7.6.4.
- CVE-2026-85956Krytyczne
Progress MarkLogic Server w wersjach 12.x przed 12.1.0 oraz 11.x przed 11.3.7 pozwala zdalnemu atakującemu z delegowanymi uprawnieniami administratora bazy danych wykonywać operacje backupu lub przywracania na lasach (forests) poza autoryzowanym zakresem bazy. Może to skutkować nieautoryzowanym dostępem do danych krytycznych dla bezpieczeństwa lub ich modyfikacją.
- CVE-2026-85955Krytyczne
Progress MarkLogic Server w wersjach 12.x przed 12.1.0 oraz 11.x przed 11.3.7 pozwala zdalnemu atakującemu z dostępem do wykonywania zapytań wywołać funkcję ewaluacji XQuery bez wymaganego dodatkowego uprawnienia ewaluacyjnego. Może to skutkować wykonaniem kodu po stronie serwera z podwyższonymi uprawnieniami.
- CVE-2026-85948Krytyczne
Progress MarkLogic Server w wersjach 12.x przed 12.1.0 oraz 11.x przed 11.3.7 zawiera podatność XQuery injection w przestarzałej ścieżce pakietu Management API. Zdalny atakujący z uprawnieniami na poziomie manage-user może wykorzystać tę podatność do uzyskania trwałej, nieautoryzowanej kontroli administracyjnej.
- CVE-2026-85947Krytyczne
Progress MarkLogic Server w wersjach 12.x przed 12.1.0 oraz 11.x przed 11.3.7 zawiera błąd autoryzacji w niektórych operacjach zarządzania lasami. Zdalny atakujący z uprawnieniami do zarządzania lasami może wykorzystać tę wadę do utworzenia trwałego, nieautoryzowanego konta administratora, co może prowadzić do całkowitej nieautoryzowanej kontroli administracyjnej nad serwerem.
- CVE-2026-109390Krytyczne
AnyDesk przed wersją 8.0.3 umożliwia nieuwierzytelnionym zdalnym atakującym wykonanie dowolnego kodu przez przepełnienie sterty, co wykazano na Linuksie jako wykonanie poleceń jako root bez zatwierdzenia kontroli pulpitu przez ofiarę. W obsłudze pakietów strumieniowych dla trybu 5 w protokole sesji nie jest weryfikowana długość ładunku.
Oryginalny opis (angielski, źródło NVD)
The Page-list plugin for WordPress is vulnerable to Missing Authorization in all versions up to, and including, 6.2. This is due to the pagelist_unqprfx_ext_shortcode() function (the [pagelist_ext] / [pagelistext] shortcode) accepting attacker-controlled post_status, post_type, and show_meta_key attributes and passing them directly into get_pages() and get_post_meta() with no capability check verifying that the rendering user is permitted to read the matched objects. When the current post has no child pages, the shortcode re-issues the query with child_of => 0, broadening it to every page on the site matching the supplied status/type. This makes it possible for authenticated attackers, with contributor-level access and above, to disclose the titles, body content/excerpts, and arbitrary post meta of unrelated private and draft pages by inserting the shortcode into a contributor-authored draft and previewing it.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS