CVE-2026-118076

WysokieCVSS 8.8

Opublikowano: 29/10/2026(UTC)Zaktualizowano: 29/10/2026(UTC)Przetłumaczono: 29/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.37%

Percentyl 31 - wyżej niż 31% wszystkich znanych CVE

Streszczenie

Wtyczka Frisbii Pay w wersjach do 1.8.19 włącznie zawiera podatność PHP Object Injection, którą może wykorzystać użytkownik z uprawnieniami Contributor. Luka umożliwia wstrzyknięcie złośliwego obiektu PHP, co może prowadzić do dalszych ataków w zależności od dostępnych klas w kodzie.

Ocena ryzyka

Użytkownik z rolą Contributor może wykorzystać lukę do eskalacji uprawnień lub wykonania nieautoryzowanych operacji w kontekście WordPress. Może to naruszyć bezpieczeństwo danych i integralność witryny.

Rekomendacja

Zaktualizuj wtyczkę Frisbii Pay do wersji nowszej niż 1.8.19, która usuwa podatność. Do czasu aktualizacji ogranicz liczbę kont z uprawnieniami Contributor.

Inne podatności w Frisbii Pay

CVE-2026-3462Średnie
Wtyczka Frisbii Pay dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku kontroli uprawnień w funkcjach 'upload_csv' i 'process_batch' we wszystkich wersjach do 1.8.9 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta i wyższym przesyłanie dowolnych danych CSV oraz nadpisywanie tokenów płatności WooCommerce, rekordów postmeta i meta zamówień.

Oryginalny opis (angielski, źródło NVD)

Contributor PHP Object Injection in Frisbii Pay <= 1.8.19 versions.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS