CVE-2026-92431
NieznaneStreszczenie
Wtyczka WordPress Patreon w wersji przed 1.10.0 nie wykonuje sprawdzenia autoryzacji dla części swojej funkcjonalności. Umożliwia to nieuwierzytelnionym użytkownikom wyliczenie nazw terminów w dowolnej taksonomii, w tym taksonomii niepublicznych, których WordPress nie udostępnia na froncie.
Ocena ryzyka
Atakujący może poznać nazwy ukrytych taksonomii i terminów, co może ujawnić informacje o strukturze witryny i ułatwić dalsze ataki.
Rekomendacja
Zaktualizuj wtyczkę Patreon do wersji 1.10.0 lub nowszej.
Inne podatności w Patreon WordPress plugin
Zobacz wszystkie- CVE-2026-92433Nieznane
Wtyczka WordPress Patreon w wersji przed 1.10.0 nie weryfikuje nonce podczas łączenia witryny z kontem Patreon. Umożliwia to atakującym zmuszenie zalogowanego administratora do ponownego powiązania integracji z kontem kontrolowanym przez atakującego poprzez spreparowane żądanie (CSRF), przejmując integrację Patreon witryny.
- CVE-2026-92432Nieznane
Wtyczka WordPress Patreon w wersji przed 1.10.0 nie waliduje docelowego adresu przekierowania podanego przez użytkownika przed przekierowaniem. Umożliwia to nieuwierzytelnionym atakującym przekierowanie odwiedzających na dowolny zewnętrzny adres URL poprzez spreparowany link, co jest przydatne do phishingu.
Oryginalny opis (angielski, źródło NVD)
The Patreon WordPress plugin before 1.10.0 does not perform an authorization check on some of its functionality, allowing unauthenticated users to enumerate the names of terms in any taxonomy, including non-public taxonomies that WordPress does not expose on the front end.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS