CVE-2026-97278
WysokieCVSS 7.2Streszczenie
Wtyczka Polylang od WP SYNTEX do wersji 3.8.9 zawiera podatność na deserializację niezaufanych danych, która umożliwia wstrzyknięcie obiektów (Object Injection).
Ocena ryzyka
Atakujący może wykorzystać podatność do wykonania dowolnego kodu na serwerze, co może prowadzić do pełnej kompromitacji witryny i danych.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Polylang do wersji, w której podatność została naprawiona, oraz unikanie deserializacji danych pochodzących od użytkowników.
Inne podatności w Polylang
Zobacz wszystkie- CVE-2026-97279Średnie
Wtyczka Polylang w wersjach do 3.8.9 włącznie zawiera podatność Cross Site Scripting (XSS), którą może wykorzystać użytkownik z uprawnieniami Contributor. Umożliwia to wstrzyknięcie złośliwego skryptu do strony.
- CVE-2026-39783Średnie
Brak autoryzacji w wtyczce Polylang firmy WP SYNTEX umożliwia pobieranie osadzonych wrażliwych danych. Problem dotyczy Polylang w wersjach od n/a do 3.8.7.
- CVE-2026-65458Średnie
Podatność w wtyczkach Polylang i Polylang Pro (do wersji 3.8.5) umożliwia ujawnienie wrażliwych informacji systemowych nieautoryzowanym podmiotom, co pozwala na odzyskanie osadzonych danych wrażliwych.
Oryginalny opis (angielski, źródło NVD)
Deserialization of Untrusted Data vulnerability in WP SYNTEX Polylang polylang allows Object Injection.This issue affects Polylang: from n/a through 3.8.9.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS