CVE-2026-119565

ŚrednieCVSS 4.3

Opublikowano: 30/10/2026(UTC)Zaktualizowano: 30/10/2026(UTC)Przetłumaczono: 30/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.31%

Percentyl 24 - wyżej niż 24% wszystkich znanych CVE

Streszczenie

Plausible Analytics w wersjach do 3.2.1 zawiera podatność typu mass assignment w update_traffic_change_notification, która pozwala uwierzytelnionym edytorom witryny na ponowne przypisanie powiadomień poprzez dostarczenie parametru site_id. Atakujący może przesłać traffic_change_notification[site_id] ustawione na klucz główny innej witryny poprzez PUT /sites/:domain/traffic-change-notification/:type, aby otrzymywać alerty ruchu i dane odwiedzających tej witryny.

Ocena ryzyka

Edytor witryny może przechwycić powiadomienia i dane odwiedzających należące do innej witryny, naruszając poufność. Może to prowadzić do wycieku informacji o ruchu i użytkownikach innych witryn.

Rekomendacja

Zaktualizuj Plausible Analytics do wersji nowszej niż 3.2.1. Do czasu aktualizacji ogranicz uprawnienia edytorów witryn i monitoruj nietypowe zmiany w powiadomieniach.

Inne podatności w Plausible Analytics

CVE-2026-119564Średnie
Plausible Analytics Community Edition w wersjach do 3.2.1 zawiera podatność na ujawnienie informacji, która pozwala edytorom witryny uzyskać identyfikatory oczekujących zaproszeń i transferów własności ze strony settings/people. Atakujący może zarejestrować się z adresem e-mail zaproszonego przy użyciu ujawnionego identyfikatora i zaakceptować zaproszenie, uzyskując zaproszoną rolę lub przejmując własność witryny.

Oryginalny opis (angielski, źródło NVD)

Plausible Analytics through 3.2.1 contains a mass assignment vulnerability in update_traffic_change_notification that allows authenticated site editors to reassign notifications by supplying a site_id parameter. Attackers can submit traffic_change_notification[site_id] set to another site's primary key via PUT /sites/:domain/traffic-change-notification/:type to receive that site's traffic alerts and visitor figures.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS