CVE-2026-92432
NieznaneStreszczenie
Wtyczka WordPress Patreon w wersji przed 1.10.0 nie waliduje docelowego adresu przekierowania podanego przez użytkownika przed przekierowaniem. Umożliwia to nieuwierzytelnionym atakującym przekierowanie odwiedzających na dowolny zewnętrzny adres URL poprzez spreparowany link, co jest przydatne do phishingu.
Ocena ryzyka
Atakujący może wykorzystać witrynę do przekierowywania użytkowników na złośliwe strony phishingowe, narażając ich dane uwierzytelniające i podważając zaufanie do witryny.
Rekomendacja
Zaktualizuj wtyczkę Patreon do wersji 1.10.0 lub nowszej.
Inne podatności w Patreon WordPress plugin
Zobacz wszystkie- CVE-2026-92433Nieznane
Wtyczka WordPress Patreon w wersji przed 1.10.0 nie weryfikuje nonce podczas łączenia witryny z kontem Patreon. Umożliwia to atakującym zmuszenie zalogowanego administratora do ponownego powiązania integracji z kontem kontrolowanym przez atakującego poprzez spreparowane żądanie (CSRF), przejmując integrację Patreon witryny.
- CVE-2026-92431Nieznane
Wtyczka WordPress Patreon w wersji przed 1.10.0 nie wykonuje sprawdzenia autoryzacji dla części swojej funkcjonalności. Umożliwia to nieuwierzytelnionym użytkownikom wyliczenie nazw terminów w dowolnej taksonomii, w tym taksonomii niepublicznych, których WordPress nie udostępnia na froncie.
Oryginalny opis (angielski, źródło NVD)
The Patreon WordPress plugin before 1.10.0 does not validate a user-supplied redirect destination before redirecting, allowing unauthenticated attackers to redirect visitors to an arbitrary external URL through a crafted link, which is useful for phishing.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS