CVE-2026-110023
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Wtyczka WP Data Access dla WordPressa jest podatna na ujawnienie poufnych informacji w wersjach do 5.5.88 włącznie poprzez parametr 'rel_tab'. Nieuwierzytelniony atakujący może wyodrębnić wszystkie wiersze i kolumny tabeli bazy danych powiązanej z anonimowo opublikowaną aplikacją, w tym hasła użytkowników, adresy e-mail i klucze resetowania hasła. Wymaga to, aby administrator opublikował co najmniej jedną aplikację z autoryzacją REST API ustawioną na 'anonymous'.
Ocena ryzyka
Może prowadzić do masowego wycieku danych uwierzytelniających i informacji osobowych, umożliwiając przejęcie kont i dalsze ataki. Stanowi poważne naruszenie poufności danych.
Rekomendacja
Zaktualizuj wtyczkę WP Data Access do wersji nowszej niż 5.5.88. Natychmiast przejrzyj konfigurację aplikacji i zmień ustawienia autoryzacji REST API z 'anonymous' na wymagające uwierzytelnienia.
Inne podatności w WP Data Access
Zobacz wszystkie- CVE-2026-93621Wysokie
Wtyczka WP Data Access w wersji 5.5.84 i starszych zawiera podatność na wstrzykiwanie SQL bez uwierzytelnienia. Zdalny atakujący może wykorzystać tę podatność do wykonania nieautoryzowanych zapytań do bazy danych.
- CVE-2026-66595Średnie
WP Data Access w wersjach do 5.5.80 zawiera podatność Broken Access Control, która może być wykorzystana bez uwierzytelnienia.
- CVE-2026-95605Krytyczne
Podatność na wstrzyknięcie SQL w WP Data Access umożliwia niewidome wstrzyknięcie SQL. Dotyczy wersji do 5.5.82 włącznie.
- CVE-2026-81293Krytyczne
W WP Data Access w wersjach do 5.5.81 wykryto podatność na nieuwierzytelnione wstrzykiwanie SQL (SQL Injection). Podatność może pozwolić atakującemu na manipulację zapytaniami do bazy danych.
- CVE-2026-42665Krytyczne
W WP Data Access w wersjach do 5.5.70 występuje podatność na nieautoryzowany atak SQL Injection.
- CVE-2026-73344Średnie
Podatność Cross Site Scripting (XSS) z uprawnieniami autora w wtyczce WP Data Access w wersjach 5.5.79 i starszych.
- CVE-2026-66663Wysokie
Podatność Cross Site Scripting (XSS) w wtyczce WP Data Access w wersjach do 5.5.79, umożliwiająca nieuwierzytelnionemu atakującemu wstrzyknięcie złośliwego skryptu do stron.
Oryginalny opis (angielski, źródło NVD)
The WP Data Access – App Builder for Tables, Forms, Dashboards, Charts & Maps plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 5.5.88 via the 'rel_tab' parameter. This makes it possible for unauthenticated attackers to extract every row and column of the underlying database table backing any anonymously published app, including WordPress user password hashes, email addresses, and password-reset keys from wp_users. Exploitation requires that an administrator has published at least one app with its REST API authorization set to 'anonymous', which is the standard configuration for publicly embedded apps.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS