CVE-2026-96904

ŚrednieCVSS 5.3

Opublikowano: 14/10/2026(UTC)Zaktualizowano: 14/10/2026(UTC)Przetłumaczono: 14/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

Wtyczka AWP Classifieds dla WordPressa przed wersją 4.4.9 nie weryfikuje autoryzacji żądania wyświetlenia ogłoszenia przy odwołaniu do transakcji płatności, co pozwala nieuwierzytelnionym atakującym ominąć kontrolę własności i odczytać prywatny e-mail kontaktowy w dowolnym ogłoszeniu.

Ocena ryzyka

Atakujący może uzyskać dostęp do prywatnych danych kontaktowych sprzedawców, co narusza poufność i może prowadzić do nadużyć.

Rekomendacja

Zaktualizuj wtyczkę AWP Classifieds do wersji 4.4.9 lub nowszej, która zawiera poprawkę.

Inne podatności w AWP Classifieds WordPress plugin

CVE-2025-15700Wysokie
Wtyczka WordPress AWP Classifieds w wersji przed 4.4.9 nie waliduje typu plików wyodrębnianych z przesłanego archiwum ZIP podczas funkcji importu ogłoszeń. Pozwala to użytkownikom posiadającym uprawnienia zarządzania wtyczką AWP Classifieds na przesłanie dowolnych plików PHP do publicznie dostępnego, współdzielonego w sieci katalogu i osiągnięcie zdalnego wykonania kodu.

Oryginalny opis (angielski, źródło NVD)

The AWP Classifieds WordPress plugin before 4.4.9 does not verify that a request is authorised to view a listing when a payment transaction is referenced, allowing unauthenticated attackers to bypass the ownership check on the ad submission page and read the private contact email stored on any listing.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS