CVE-2026-97318
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Giveaways and Contests by RafflePress w wersji przed 1.12.27 nie waliduje prawidłowo adresu URL strony nadrzędnej giveaway przed zapisaniem go i późniejszym przekierowaniem na niego odwiedzających. Umożliwia to nieuwierzytelnionym atakującym sprawienie, że linki potwierdzenia i polecenia giveaway witryny przekierują odwiedzających na dowolną zewnętrzną stronę.
Ocena ryzyka
Atakujący może przekierować użytkowników na złośliwe strony zewnętrzne, co może prowadzić do phishingu lub rozprzestrzeniania złośliwego oprogramowania. Podważa to zaufanie do witryny i jej linków.
Rekomendacja
Zaktualizuj wtyczkę Giveaways and Contests by RafflePress do wersji 1.12.27 lub nowszej. Sprawdź istniejące konfiguracje giveaway pod kątem nieprawidłowych adresów URL stron nadrzędnych.
Inne podatności w Giveaways and Contests by RafflePress
Zobacz wszystkie- CVE-2026-97317Średnie
Wtyczka WordPress Giveaways and Contests by RafflePress w wersji przed 1.12.27 nie usuwa klucza tajnego reCAPTCHA z ustawień giveaway osadzanych na publicznych stronach giveaway. Umożliwia to nieuwierzytelnionym odwiedzającym pobranie klucza tajnego dowolnego aktywnego giveaway, który ma skonfigurowaną reCAPTCHA.
- CVE-2025-66064Średnie
Wtyczka WordPress "Giveaways and Contests by RafflePress" jest podatna na Cross-Site Request Forgery (CSRF) we wszystkich wersjach do 1.12.20 włącznie. Brak lub nieprawidłowa walidacja nonce umożliwia nieuwierzytelnionym atakującym wykonanie akcji w imieniu administratora.
Oryginalny opis (angielski, źródło NVD)
The Giveaways and Contests by RafflePress WordPress plugin before 1.12.27 does not properly validate a giveaway's parent page URL before saving it and later redirecting visitors to it, allowing unauthenticated attackers to make the site's own giveaway confirmation and referral links redirect visitors to an arbitrary external site.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS