CVE-2026-94505
WysokieCVSS 8.1Streszczenie
Wtyczka Nelio Content – Editorial Calendar & Social Media Auto-Posting dla WordPressa jest podatna na obejście autoryzacji w wszystkich wersjach do 4.5.0 włącznie, z powodu nieprawidłowej weryfikacji uprawnień użytkownika. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributora i wyżej trwałe usunięcie dowolnych wielokrotnego użytku wiadomości społecznościowych (nc_reusable_social post), w tym tych utworzonych przez administratorów lub innych uprzywilejowanych użytkowników.
Ocena ryzyka
Organizacja może stracić ważne treści społecznościowe, co może wpłynąć na planowanie publikacji i kampanie marketingowe. Atakujący może również usunąć wiadomości innych użytkowników, co może prowadzić do zakłócenia pracy zespołu.
Rekomendacja
Należy zaktualizować wtyczkę Nelio Content do wersji, która zawiera poprawkę (jeśli dostępna). Tymczasowo należy ograniczyć uprawnienia contributorów i monitorować aktywność usuwania postów.
Inne podatności w Nelio Content
Zobacz wszystkie- CVE-2026-57648Średnie
Wtyczka Nelio Content dla WordPressa w wersji 4.3.4 i starszych zawiera podatność polegającą na złamaniu kontroli dostępu przez współautorów. Osoba z rolą współautora może uzyskać nieautoryzowany dostęp do funkcji lub danych, do których nie powinna mieć uprawnień.
- CVE-2026-39521Średnie
Wtyczka Nelio Content dla WordPressa (autor: Nelio Software) zawiera podatność na SSRF (Server-Side Request Forgery). Problem dotyczy wersji do 4.3.1 włącznie.
Oryginalny opis (angielski, źródło NVD)
The Nelio Content – Editorial Calendar & Social Media Auto-Posting plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 4.5.0 This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with contributor-level access and above, to permanently delete any reusable social message (nc_reusable_social post), including those authored by administrators or other privileged users.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS