CVE-2026-94079
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Podatność Broken Access Control w wtyczce WP User Manager w wersjach do 2.9.19 włącznie. Podatność może być wykorzystana przez nieuwierzytelnionego atakującego.
Ocena ryzyka
Nieuwierzytelniony atakujący może obejść mechanizmy kontroli dostępu i wykonać nieautoryzowane działania. Może to prowadzić do ujawnienia danych lub modyfikacji konfiguracji.
Rekomendacja
Zaktualizuj wtyczkę WP User Manager do wersji nowszej niż 2.9.19. Rozważ tymczasowe wyłączenie wtyczki, jeśli aktualizacja nie jest możliwa.
Inne podatności w WP User Manager
Zobacz wszystkie- CVE-2026-49766Krytyczne
Wtyczka WP User Manager w wersjach do 2.9.16 zawiera podatność, która pozwala subskrybentom na dowolne usuwanie plików.
- CVE-2026-18345Średnie
Wtyczka WP User Manager dla WordPressa w wersjach do 2.9.18 włącznie jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzania uprawnień w funkcji Connect::complete(). Funkcja jest zarejestrowana na hooku admin_init i nie weryfikuje uprawnień ani nonce przed pobraniem danych uwierzytelniających Stripe i zapisaniem ich w opcji wpum_settings. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może przejąć integrację Stripe, kierując wszystkie płatności na swoje konto.
- CVE-2026-9290Wysokie
Wtyczka WP User Manager – User Profile Builder & Membership dla WordPressa w wersjach do 2.9.17 włącznie zawiera podatność na lokalne dołączanie plików (Local File Inclusion) w funkcji szablonu profilu. Nieuwierzytelnieni atakujący mogą dołączać i wykonywać dowolne pliki .php na serwerze, co umożliwia ominięcie kontroli dostępu, uzyskanie wrażliwych danych lub wykonanie kodu.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Broken Access Control in WP User Manager <= 2.9.19 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS