CVE-2026-97348

ŚrednieCVSS 6.5

Opublikowano: 10/10/2026(UTC)Zaktualizowano: 13/10/2026(UTC)Przetłumaczono: 10/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

0.73%

Percentyl 53 - wyżej niż 53% wszystkich znanych CVE

Streszczenie

Wtyczka SiteOrigin Widgets Bundle dla WordPressa jest podatna na Directory Traversal we wszystkich wersjach do 1.74.3 włącznie, poprzez funkcję get_instance_css. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym odczyt zawartości dowolnych plików na serwerze, które mogą zawierać wrażliwe informacje. Normalny proces aktualizacji/dezynfekcji danych wejściowych jest całkowicie pomijany, ponieważ handler shortcode'a wywołuje bezpośrednio funkcję widget() na dostarczonym przez atakującego zdekodowanym JSON.

Ocena ryzyka

Organizacja może stracić poufne dane, takie jak pliki konfiguracyjne, dane uwierzytelniające lub inne wrażliwe informacje przechowywane na serwerze. Atakujący z niskimi uprawnieniami może uzyskać dostęp do danych, które powinny być chronione.

Rekomendacja

Zaleca się natychmiastową aktualizację wtyczki SiteOrigin Widgets Bundle do najnowszej dostępnej wersji, która zawiera poprawkę. Należy również ograniczyć dostęp do kont o niskich uprawnieniach i monitorować logi pod kątem nietypowych żądań.

Inne podatności w SiteOrigin Widgets Bundle

CVE-2026-92174Wysokie
Wtyczka SiteOrigin Widgets Bundle dla WordPressa (wersje do 1.73.2 włącznie) jest podatna na lokalne włączenie plików (LFI) poprzez parametr 'theme'. Uwierzytelniony atakujący z uprawnieniami współpracownika lub wyższymi może włączyć i wykonać dowolne pliki .php na serwerze, co prowadzi do wykonania kodu PHP. Wykorzystanie wymaga wysłania złośliwego ładunku widgetData z kluczem 'theme' na endpoint REST /wp-json/sowb/v1/widgets/previews.

Oryginalny opis (angielski, źródło NVD)

The SiteOrigin Widgets Bundle plugin for WordPress is vulnerable to Directory Traversal in all versions up to, and including, 1.74.3 via the get_instance_css function. This makes it possible for authenticated attackers, with contributor-level access and above, to read the contents of arbitrary files on the server, which can contain sensitive information. The widget's normal update()/sanitize_field_input() pipeline — which would reject non-hex color values — is bypassed entirely because the [siteorigin_widget] shortcode handler calls $the_widget->widget() directly on the attacker-supplied decoded JSON instance.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS