CVE-2026-94487
WysokieCVSS 8.1Streszczenie
Wtyczka PublishPress Capabilities w wersjach do 2.50.1 włącznie zawiera podatność Cross Site Request Forgery (CSRF) możliwą do wykorzystania bez uwierzytelnienia. Atakujący może zmusić użytkownika do wykonania niechcianych akcji.
Ocena ryzyka
Nieuwierzytelniony atakujący może nakłonić zalogowanego administratora do wykonania nieautoryzowanych operacji, co może prowadzić do zmiany uprawnień lub konfiguracji witryny.
Rekomendacja
Zaktualizuj wtyczkę PublishPress Capabilities do wersji nowszej niż 2.50.1.
Inne podatności w PublishPress Capabilities
Zobacz wszystkie- CVE-2026-28183Wysokie
Wtyczka PublishPress Capabilities (capability-manager-enhanced) do WordPressa ma podatność nieprawidłowego przypisania uprawnień, która umożliwia eskalację uprawnień. Problem dotyczy wersji od n/a do 2.45.0.
- CVE-2026-75927Wysokie
Wtyczka PublishPress Capabilities dla WordPressa do wersji 2.50.0 włącznie jest podatna na eskalację uprawnień. Funkcja addPluginCapabilities() automatycznie przyznaje roli Editor wszystkie uprawnienia manage_capabilities_*, co pozwala atakującym z dostępem na poziomie Editor na zarządzanie rolami i ustawieniami wtyczki, ale nie na pełny dostęp administratora.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Cross Site Request Forgery (CSRF) in PublishPress Capabilities <= 2.50.1 versions.