CVE-2026-90974
ŚrednieCVSS 6.5Streszczenie
Wtyczka WordPress WP Fusion Lite przed wersją 3.48.0 nie wymaga uwierzytelnienia w obsłudze ustawień uruchamianej podczas inicjalizacji panelu administracyjnego. Umożliwia to nieuwierzytelnionym użytkownikom nadpisanie punktu końcowego integracji CRM i poświadczeń, po czym zsynchronizowane dane użytkowników są dostarczane do hosta wybranego przez atakującego.
Ocena ryzyka
Atakujący może przekierować dane użytkowników do własnego serwera, co prowadzi do wycieku danych osobowych i naruszenia prywatności. Może to również umożliwić dalsze ataki na użytkowników.
Rekomendacja
Należy zaktualizować wtyczkę WP Fusion Lite do wersji 3.48.0 lub nowszej. Zaleca się również weryfikację konfiguracji integracji CRM pod kątem nieautoryzowanych zmian.
Inne podatności w WP Fusion Lite WordPress plugin
Oryginalny opis (angielski, źródło NVD)
The WP Fusion Lite WordPress plugin before 3.48.0 does not require authentication on a settings handler that runs during admin initialization, allowing unauthenticated users to overwrite the site's CRM integration endpoint and credentials, after which synced user data is delivered to an attacker-chosen host.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS