CVE-2026-108685

NiskieCVSS 3.7

Opublikowano: 29/10/2026(UTC)Zaktualizowano: 29/10/2026(UTC)Przetłumaczono: 29/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 18 - wyżej niż 18% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress WP Post Author w wersji przed 4.2.0 nie sprawdza, czy konto zostało utworzone przed aktualizacją profilu podczas rejestracji front-end, co pozwala nieuwierzytelnionym użytkownikom nadpisać nazwę wyświetlaną, pseudonim i stronę internetową pierwszego konta użytkownika (zwykle administratora), gdy formularz rejestracji deklaruje jedno z tych pól.

Ocena ryzyka

Atakujący może zmienić dane profilu administratora, co może prowadzić do podszywania się, phishingu lub dalszych ataków socjotechnicznych. Może to również naruszyć zaufanie do witryny.

Rekomendacja

Zaktualizuj wtyczkę WP Post Author do wersji 4.2.0 lub nowszej. Sprawdź dane profilu administratora pod kątem nieautoryzowanych zmian.

Inne podatności w WP Post Author WordPress plugin

CVE-2026-108686Niskie
Wtyczka WordPress WP Post Author w wersji przed 4.2.0 nie ogranicza ustawień integracji zwracanych odwiedzającym, co pozwala nieuwierzytelnionym użytkownikom odczytać klucz tajny reCAPTCHA, jeśli został zapisany.

Oryginalny opis (angielski, źródło NVD)

The WP Post Author WordPress plugin before 4.2.0 does not check that the account was created before updating its profile during front-end registration, allowing unauthenticated users to overwrite the display name, nickname and website of the first user account, which is normally the administrator, when a registration form declares one of those fields.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS