Podatności Download Monitor WordPress plugin
3 znanych podatności CVE w Download Monitor WordPress plugin, przetłumaczonych i ocenionych.
- CVE-2026-112207Nieznane
Wtyczka WordPress Download Monitor przed wersją 5.3.4 nie sprawdza poprawnie, czy kliknięty link należy do witryny, zanim pobierze go po stronie klienta i wyrenderuje część odpowiedzi na stronie. Umożliwia to nieuwierzytelnionym atakującym wykonanie dowolnego JavaScriptu w przeglądarce użytkownika nakłonionego do kliknięcia spreparowanego linku.
- CVE-2026-112219Średnie
Wtyczka WordPress Download Monitor przed wersją 5.3.5 nieprawidłowo ogranicza zarządzanie listą lokalizacji systemu plików, z których może serwować pliki, do administratorów sieci w trybie multisite. Administrator podstrony może zatwierdzić dowolne lokalizacje, co pozwala wtyczce serwować nieuwierzytelnionym odwiedzającym czytelne pliki spoza katalogu uploads, w tym pliki należące do innych podstron. Instalacje single-site nie są dotknięte.
- CVE-2026-16608Średnie
Wtyczka Download Monitor dla WordPressa przed wersją 5.2.6 nie przeprowadza kontroli autoryzacji na jednej z akcji AJAX dotyczących logowania pobrań i udostępnia nonce chroniące tę akcję nieuwierzytelnionym odwiedzającym. Umożliwia to nieuwierzytelnionym użytkownikom wstrzykiwanie dowolnych wpisów do logu pobrań i zawyżanie statystyk pobrań witryny.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS