CVE-2026-109982
ŚrednieCVSS 4.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress MB Custom Post Types & Custom Taxonomies w wersji przed 2.12.2 nie sprawdza uprawnień ani nie weryfikuje nonce w akcjach migracji. Pozwala to każdemu zalogowanemu użytkownikowi, np. subskrybentowi, uruchomić jednokierunkową migrację, która tworzy opublikowane rekordy i trwale usuwa całą konfigurację typów treści i taksonomii wtyczki.
Ocena ryzyka
Uwierzytelniony użytkownik o niskich uprawnieniach może trwale zniszczyć konfigurację typów treści i taksonomii oraz utworzyć niechciane opublikowane wpisy, co prowadzi do utraty danych i zakłócenia działania witryny.
Rekomendacja
Zaktualizuj wtyczkę MB Custom Post Types & Custom Taxonomies do wersji 2.12.2 lub nowszej. Do czasu aktualizacji ogranicz dostęp do witryny wyłącznie zaufanym użytkownikom.
Inne podatności w MB Custom Post Types & Custom Taxonomies WordPress plugin
Zobacz wszystkie- CVE-2026-110011Niskie
Wtyczka WordPress MB Custom Post Types & Custom Taxonomies w wersji przed 2.12.3 nie sprawdza uprawnień w funkcji eksportu. Umożliwia to użytkownikom z rolą tak niską jak Contributor odczyt konfiguracji typów treści i taksonomii dostępnych tylko dla administratorów oraz tytułów, dat, statusów i części zapisanej treści niepublicznych wpisów i stron innych użytkowników.
- CVE-2026-110010Średnie
Wtyczka WordPress MB Custom Post Types & Custom Taxonomies przed wersją 2.12.3 nie wykonuje żadnego sprawdzenia uprawnień ani uwierzytelnienia przed zezwoleniem nieuwierzytelnionemu żądaniu na ponowne uruchomienie starszej migracji danych. Pozwala to każdemu przywrócić definicję niestandardowego typu posta lub taksonomii na stronach zaktualizowanych z wersji przed 2.0 do stanu sprzed aktualizacji.
Oryginalny opis (angielski, źródło NVD)
The MB Custom Post Types & Custom Taxonomies WordPress plugin before 2.12.2 does not perform a capability check or validate a nonce on its migration actions, allowing any authenticated user, such as a subscriber, to trigger a one-way migration that creates published records and permanently deletes a companion MB Custom Post Types & Custom Taxonomies WordPress plugin before 2.12.2's entire post-type and taxonomy configuration.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS