CVE-2026-114741
NiskieCVSS 3.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress WPVR przed wersją 9.0.3 nie wykonuje kontroli autoryzacji na poziomie obiektu podczas odczytu i aktualizacji wirtualnych wycieczek. Umożliwia to użytkownikom z dostępem na poziomie Contributor i wyższym odczyt i modyfikację wycieczek utworzonych przez innych użytkowników.
Ocena ryzyka
Użytkownicy o ograniczonych uprawnieniach mogą odczytywać i modyfikować treści innych użytkowników, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaktualizuj wtyczkę do wersji 9.0.3 lub nowszej. Rozważ ograniczenie uprawnień Contributorów do niezbędnego minimum.
Inne podatności w WPVR WordPress plugin
Zobacz wszystkie- CVE-2026-114742Niskie
Wtyczka WordPress WPVR przed wersją 9.0.3 nie wykonuje kontroli własności na poziomie obiektu podczas aktualizacji wirtualnych wycieczek. Umożliwia to użytkownikom z dostępem na poziomie Contributor i wyższym modyfikowanie, rekonfigurację i publikowanie wycieczek utworzonych przez innych użytkowników.
- CVE-2026-114740Średnie
Wtyczka WordPress WPVR przed wersją 9.1.3 nieprawidłowo sprawdza uprawnienia użytkownika podczas tworzenia wycieczki przez kreator konfiguracji. Umożliwia to użytkownikom z rolą Contributor i wyższą tworzenie i publikowanie treści wycieczek oraz ustawianie dowolnych metadanych postów, których normalnie nie mogliby utworzyć ani opublikować.
Oryginalny opis (angielski, źródło NVD)
The WPVR WordPress plugin before 9.0.3 does not perform object-level authorization checks when reading and updating virtual tours, allowing users with contributor-level access and above to read and modify tours created by other users.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS