CVE-2026-96532

WysokieCVSS 7.5

Opublikowano: 26/09/2026(UTC)Zaktualizowano: 28/09/2026(UTC)Przetłumaczono: 26/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 10 - wyżej niż 10% wszystkich znanych CVE

Streszczenie

Wtyczka Testimonials Widget do WordPressa do wersji 4.0.4 nie przeprowadza kontroli uprawnień ani własności w formularzu przesyłania opinii na froncie. Pozwala to nieuwierzytelnionym użytkownikom na modyfikację lub tworzenie dowolnych wpisów, w tym nadpisywanie tytułu, treści i autora istniejących wpisów.

Ocena ryzyka

Atakujący może przejąć kontrolę nad treścią strony, modyfikując lub usuwając istniejące wpisy, co może prowadzić do defacementu lub wstrzyknięcia złośliwej treści.

Rekomendacja

Zaktualizuj wtyczkę do najnowszej wersji. Dodatkowo wdróż odpowiednie kontrole uprawnień i własności w formularzu przesyłania opinii.

Inne podatności w Testimonials Widget

CVE-2026-96533Średnie
Wtyczka Testimonials Widget do WordPressa do wersji 4.0.4 nie waliduje adresu URL podanego przez użytkownika przed pobraniem go po stronie serwera i zapisaniem odpowiedzi jako publicznego pliku. Pozwala to nieuwierzytelnionym użytkownikom na zmuszenie serwera do wysyłania żądań do wewnętrznych usług i odczytywania odpowiedzi.

Oryginalny opis (angielski, źródło NVD)

The Testimonials Widget WordPress plugin through 4.0.4 does not perform a capability or ownership check when handling its front-end testimonial submission form, allowing unauthenticated users to modify or create arbitrary posts, including overwriting the title, content and author of any existing post.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS