CVE-2026-90972

ŚrednieCVSS 5.4

Opublikowano: 01/10/2026(UTC)Zaktualizowano: 01/10/2026(UTC)Przetłumaczono: 01/10/2026(UTC)NVD NIST

Streszczenie

Wtyczka WordPress WP Fusion Lite przed wersją 3.48.0 nie wykonuje sprawdzenia uprawnień w dwóch handlerach AJAX panelu administracyjnego. Umożliwia to każdemu uwierzytelnionemu subskrybentowi odczytanie adresów e-mail innych użytkowników oraz wywołanie ponownej synchronizacji CRM między użytkownikami.

Ocena ryzyka

Ujawnienie adresów e-mail może prowadzić do phishingu i spamu, a nieautoryzowana synchronizacja CRM może zaburzyć dane integracji. Ryzyko dotyczy prywatności użytkowników i integralności danych.

Rekomendacja

Należy zaktualizować wtyczkę WP Fusion Lite do wersji 3.48.0 lub nowszej. Zaleca się również monitorowanie nietypowych operacji synchronizacji CRM.

Inne podatności w WP Fusion Lite WordPress plugin

CVE-2026-90974Średnie
Wtyczka WordPress WP Fusion Lite przed wersją 3.48.0 nie wymaga uwierzytelnienia w obsłudze ustawień uruchamianej podczas inicjalizacji panelu administracyjnego. Umożliwia to nieuwierzytelnionym użytkownikom nadpisanie punktu końcowego integracji CRM i poświadczeń, po czym zsynchronizowane dane użytkowników są dostarczane do hosta wybranego przez atakującego.

Oryginalny opis (angielski, źródło NVD)

The WP Fusion Lite WordPress plugin before 3.48.0 does not perform a capability check on two of its admin AJAX handlers, allowing any authenticated subscriber to read other users' email addresses and to trigger a cross-user CRM re-sync.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS