CVE-2026-111960

ŚrednieCVSS 4.3

Opublikowano: 28/10/2026(UTC)Zaktualizowano: 28/10/2026(UTC)Przetłumaczono: 28/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress Royal MCP przed wersją 1.5.10 nie wykonuje sprawdzeń autoryzacji na poziomie obiektu ani typu wpisu w jednym ze swoich narzędzi wyszukiwania. Umożliwia to uwierzytelnionym użytkownikom, takim jak subskrybent, ujawnienie tytułu i treści niepublicznych wpisów, w tym danych osobowych przechowywanych przez towarzyszącą wtyczkę Royal MCP przed wersją 1.5.10.

Ocena ryzyka

Nawet użytkownik z najniższymi uprawnieniami może uzyskać dostęp do niepublicznych treści i danych osobowych, naruszając poufność.

Rekomendacja

Zaktualizuj wtyczkę Royal MCP do wersji 1.5.10 lub nowszej.

Inne podatności w Royal MCP WordPress plugin

CVE-2026-111961Niskie
Wtyczka WordPress Royal MCP przed wersją 1.5.10 nie wykonuje sprawdzenia uprawnień na poziomie obiektu przed duplikowaniem żądanej strony, opierając się na ogólnym uprawnieniu. Umożliwia to użytkownikom z poziomem dostępu Contributor odczytanie pełnej treści dowolnej prywatnej lub roboczej strony oraz jej opublikowanie bez posiadania uprawnienia do publikacji.

Oryginalny opis (angielski, źródło NVD)

The Royal MCP WordPress plugin before 1.5.10 does not perform object-level or post-type authorisation checks in one of its search tools, allowing authenticated users such as a subscriber to disclose the title and content of non-public entries, including personal data stored by a companion Royal MCP WordPress plugin before 1.5.10.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS