CVE-2026-97317
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Giveaways and Contests by RafflePress w wersji przed 1.12.27 nie usuwa klucza tajnego reCAPTCHA z ustawień giveaway osadzanych na publicznych stronach giveaway. Umożliwia to nieuwierzytelnionym odwiedzającym pobranie klucza tajnego dowolnego aktywnego giveaway, który ma skonfigurowaną reCAPTCHA.
Ocena ryzyka
Ujawnienie klucza tajnego reCAPTCHA może pozwolić atakującym na obejście zabezpieczeń reCAPTCHA i automatyzację nadużyć. Może to prowadzić do spamu lub fałszywych zgłoszeń w giveaway.
Rekomendacja
Zaktualizuj wtyczkę Giveaways and Contests by RafflePress do wersji 1.12.27 lub nowszej. Po aktualizacji rozważ regenerację kluczy reCAPTCHA, jeśli mogły zostać ujawnione.
Inne podatności w Giveaways and Contests by RafflePress
Zobacz wszystkie- CVE-2026-97318Średnie
Wtyczka WordPress Giveaways and Contests by RafflePress w wersji przed 1.12.27 nie waliduje prawidłowo adresu URL strony nadrzędnej giveaway przed zapisaniem go i późniejszym przekierowaniem na niego odwiedzających. Umożliwia to nieuwierzytelnionym atakującym sprawienie, że linki potwierdzenia i polecenia giveaway witryny przekierują odwiedzających na dowolną zewnętrzną stronę.
- CVE-2025-66064Średnie
Wtyczka WordPress "Giveaways and Contests by RafflePress" jest podatna na Cross-Site Request Forgery (CSRF) we wszystkich wersjach do 1.12.20 włącznie. Brak lub nieprawidłowa walidacja nonce umożliwia nieuwierzytelnionym atakującym wykonanie akcji w imieniu administratora.
Oryginalny opis (angielski, źródło NVD)
The Giveaways and Contests by RafflePress WordPress plugin before 1.12.27 does not remove the reCAPTCHA secret key from the giveaway settings it embeds in public giveaway pages, allowing unauthenticated visitors to retrieve the secret key of any active giveaway that has reCAPTCHA configured.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS