CVE-2026-116399
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wtyczka InstaWP Connect zawiera podatność Cross-Site Request Forgery (CSRF), umożliwiającą wymuszenie na zalogowanym użytkowniku wykonania niepożądanych akcji. Problem dotyczy wersji od początku do 0.1.4.2 włącznie.
Ocena ryzyka
Atakujący może nakłonić administratora do wykonania niezamierzonych operacji w serwisie WordPress. Może to prowadzić do zmiany konfiguracji lub nieautoryzowanych działań w witrynie.
Rekomendacja
Zaktualizuj wtyczkę InstaWP Connect do wersji nowszej niż 0.1.4.2. Dodatkowo rozważ wdrożenie ochrony CSRF na poziomie WAF.
Inne podatności w InstaWP Connect
Zobacz wszystkie- CVE-2026-73401Średnie
Podatność polegająca na nieuwierzytelnionym złamaniu kontroli dostępu w wtyczce InstaWP Connect w wersjach do 0.1.3.7.
- CVE-2026-13457Wysokie
Wtyczka InstaWP Connect – 1-click WP Staging & Migration dla WordPressa jest podatna na zdalne wykonanie kodu we wszystkich wersjach do 0.1.3.6 włącznie. Wtyczka przechowuje zaszyfrowany plik opcji jako options-{migrate_key}.txt w katalogu wp-content/instawpbackups/ bez zabezpieczenia przed listowaniem katalogów, co ujawnia 40-znakowy migrate_key na serwerach Apache z włączonym indeksowaniem katalogów. Atakujący może wyprowadzić hasło AES-256-CBC przez SHA256(migrate_key), odszyfrować plik opcji i odzyskać api_signature, co umożliwia nieuwierzytelnionym atakującym uzyskanie danych dostępowych do bazy danych i api_signature. Eksploatacja wymaga hostingu na Apache z włączonym listowaniem katalogów i jest ograniczona czasowo do okresu migracji.
- CVE-2026-39504Średnie
Wtyczka InstaWP Connect dla WordPressa zawiera brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 0.1.2.5 włącznie.
- CVE-2025-66068Średnie
Wtyczka InstaWP Connect zawiera lukę w autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 0.1.1.9 włącznie.
Oryginalny opis (angielski, źródło NVD)
Cross-Site Request Forgery (CSRF) vulnerability in InstaWP InstaWP Connect instawp-connect allows Cross Site Request Forgery.This issue affects InstaWP Connect: from n/a through 0.1.4.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS