Podatności Blocksy Companion Pro
6 znanych podatności CVE w Blocksy Companion Pro, przetłumaczonych i ocenionych.
- CVE-2026-58480Krytyczne
Wtyczka Blocksy Companion Pro dla WordPressa przed wersją 2.1.47 zawiera nieuwierzytelnioną podatność na dowolne przesyłanie plików, umożliwiającą atakującym wgrywanie plików wykonywalnych poprzez ominięcie walidacji rozszerzeń w funkcji save_attachments udostępnionej przez funkcję Advanced Reviews. Atakujący mogą wykorzystać wadliwe sprawdzanie podciągów strpos() w rozszerzeniu Custom Fonts, przesyłając pliki z podwójnym rozszerzeniem, np. shell.woff2.php, co powoduje przejście walidacji na podstawie dopasowania podciągu, podczas gdy serwer WWW wykonuje plik jako PHP, umożliwiając zdalne wykonanie kodu.
- CVE-2026-57624Krytyczne
Wtyczka Blocksy Companion Pro w wersji 2.1.46 i starszych zawiera krytyczną podatność umożliwiającą nieuwierzytelnionemu atakującemu zdalne wykonanie kodu (RCE). Podatność ta wynika z braku odpowiedniego uwierzytelnienia w jednym z endpointów API.
- CVE-2026-40783Krytyczne
W wersjach Blocksy Companion Pro do 2.1.37 występuje podatność umożliwiająca zdalne wykonanie kodu (RCE) przez nieautoryzowanych użytkowników.
- CVE-2026-39596Krytyczne
W wersjach Blocksy Companion Pro poniżej 2.1.29 występuje nieautoryzowana podatność na wstrzykiwanie SQL.
- CVE-2026-57630Średnie
Wtyczka Blocksy Companion Pro w wersji 2.1.46 i starszych zawiera podatność na nieuwierzytelnione, niebezpieczne bezpośrednie odwołania do obiektów (IDOR). Umożliwia to atakującemu bez logowania dostęp do zasobów, które powinny być chronione.
- CVE-2026-57315Wysokie
Podatność umożliwia zdalne wykonanie kodu (RCE) wtyczki Blocksy Companion Pro w wersjach do 2.1.45. Atakujący może wykorzystać tę lukę do przejęcia kontroli nad serwerem.