CVE-2026-97354
ŚrednieCVSS 4.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka PowerPress Podcasting by Blubrry dla WordPressa przed wersją 11.17.11 nie weryfikuje celu przekierowań podczas pobierania adresu URL multimediów podanego przez użytkownika, co pozwala użytkownikom z rolą współautora i wyższą na przeprowadzanie ataków SSRF na wewnętrzne usługi.
Ocena ryzyka
Użytkownicy z uprawnieniami mogą wykorzystać podatność do uzyskania dostępu do wewnętrznych usług, co może prowadzić do wycieku danych lub dalszych ataków.
Rekomendacja
Zaktualizuj wtyczkę PowerPress Podcasting do wersji 11.17.11 lub nowszej, aby wyeliminować podatność.
Inne podatności w PowerPress Podcasting
Zobacz wszystkie- CVE-2026-104387Wysokie
Wtyczka PowerPress Podcasting w wersjach do 11.17.9 włącznie zawiera podatność typu Broken Access Control, którą może wykorzystać nieuwierzytelniony atakujący.
- CVE-2026-104407Wysokie
Wtyczka PowerPress Podcasting do WordPressa (wersje do 11.17.9) zawiera podatność Cross-Site Request Forgery (CSRF), która może pozwolić na wykonanie nieautoryzowanych działań w imieniu zalogowanego użytkownika.
- CVE-2026-104388Średnie
Wtyczka PowerPress Podcasting do WordPressa zawiera podatność na brak autoryzacji, która umożliwia odzyskanie osadzonych wrażliwych danych. Problem dotyczy wersji do 11.17.9 włącznie.
- CVE-2026-16294Wysokie
Wtyczka PowerPress Podcasting by Blubrry przed wersją 11.17.1 nie waliduje jednego z ustawień URL odcinka podcastu przed wykonaniem żądania po stronie serwera, co pozwala użytkownikom z rolą co najmniej Contributor na przeprowadzanie ataków Server-Side Request Forgery (SSRF) skierowanych na wewnętrzne usługi.
- CVE-2026-16293Średnie
Wtyczka PowerPress Podcasting by Blubrry dla WordPressa przed wersją 11.16.11 nie dezynfekuje i nie escapuje niektórych ustawień odcinków podcastu, co może pozwolić użytkownikom z rolą tak niską jak Współautor na przeprowadzanie ataków Stored Cross-Site Scripting nawet gdy możliwość unfiltered_html jest zabroniona.
- CVE-2026-24637Wysokie
Podatność SQL Injection w PowerPress Podcasting w wersjach do 11.15.10 umożliwia atakującym wstrzykiwanie złośliwych zapytań SQL.
- CVE-2025-64201Średnie
Wtyczka PowerPress Podcasting dla WordPress zawiera podatność na Cross-Site Request Forgery (CSRF). Podatność dotyczy wersji do 11.13.12 włącznie.
Oryginalny opis (angielski, źródło NVD)
The PowerPress Podcasting plugin by Blubrry WordPress plugin before 11.17.11 does not validate the destination of redirects when fetching a user-supplied media URL, allowing users with the contributor role and above to perform Server-Side Request Forgery attacks against internal services.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS