CVE-2026-92174

WysokieCVSS 7.5

Opublikowano: 02/10/2026(UTC)Zaktualizowano: 03/10/2026(UTC)Przetłumaczono: 02/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.57%

Percentyl 45 - wyżej niż 45% wszystkich znanych CVE

Streszczenie

Wtyczka SiteOrigin Widgets Bundle dla WordPressa (wersje do 1.73.2 włącznie) jest podatna na lokalne włączenie plików (LFI) poprzez parametr 'theme'. Uwierzytelniony atakujący z uprawnieniami współpracownika lub wyższymi może włączyć i wykonać dowolne pliki .php na serwerze, co prowadzi do wykonania kodu PHP. Wykorzystanie wymaga wysłania złośliwego ładunku widgetData z kluczem 'theme' na endpoint REST /wp-json/sowb/v1/widgets/previews.

Ocena ryzyka

Atakujący z kontem współpracownika może wykonać dowolny kod PHP na serwerze, obejść kontrolę dostępu, uzyskać dostęp do danych wrażliwych lub przejąć całą witrynę. Ryzyko jest wysokie, ponieważ wymagane uprawnienia są niskie i łatwe do uzyskania w wielu instalacjach WordPressa.

Rekomendacja

Zaktualizuj wtyczkę SiteOrigin Widgets Bundle do wersji nowszej niż 1.73.2, która naprawia tę podatność. Do czasu aktualizacji ogranicz możliwość rejestracji kont współpracowników i monitoruj nietypowe żądania do endpointu /wp-json/sowb/v1/widgets/previews.

Inne podatności w SiteOrigin Widgets Bundle

CVE-2026-97348Średnie
Wtyczka SiteOrigin Widgets Bundle dla WordPressa jest podatna na Directory Traversal we wszystkich wersjach do 1.74.3 włącznie, poprzez funkcję get_instance_css. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym odczyt zawartości dowolnych plików na serwerze, które mogą zawierać wrażliwe informacje. Normalny proces aktualizacji/dezynfekcji danych wejściowych jest całkowicie pomijany, ponieważ handler shortcode'a wywołuje bezpośrednio funkcję widget() na dostarczonym przez atakującego zdekodowanym JSON.

Oryginalny opis (angielski, źródło NVD)

The SiteOrigin Widgets Bundle plugin for WordPress is vulnerable to Local File Inclusion in all versions up to, and including, 1.73.2 via the 'theme' parameter parameter. This makes it possible for authenticated attackers, with contributor-level access and above, to include and execute arbitrary .php files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where .php file types can be uploaded and included. Exploitation requires sending a malicious widgetData payload containing a legacy top-level theme key alongside a non-empty columns array to the /wp-json/sowb/v1/widgets/previews REST endpoint, which bypasses field validation because update_fields() only processes declared form fields.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS