CVE-2026-119702
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
WPGraphQL w wersjach przed 2.24.1 zawiera brak autoryzacji w mutacji createComment, który pozwala nieuwierzytelnionym atakującym komentować niepubliczne wpisy poprzez obejście sprawdzania statusu wpisu. Atakujący może dołączać komentarze do szkiców, wpisów prywatnych, usuniętych lub chronionych hasłem, ujawniając ukryte tytuły przez powiadomienia moderatorów, wyliczając identyfikatory wpisów oraz ustawiając daty wsteczne lub oznaczając komentarze jako pingbacki.
Ocena ryzyka
Nieuwierzytelniony atakujący może ujawnić informacje o niepublicznych wpisach i wyliczyć ich identyfikatory, co narusza poufność treści i może ułatwić dalsze ataki.
Rekomendacja
Zaktualizuj WPGraphQL do wersji 2.24.1 lub nowszej i zweryfikuj, czy mutacja createComment wymusza sprawdzanie statusu wpisu.
Inne podatności w WPGraphQL
Zobacz wszystkie- CVE-2026-119701Średnie
WPGraphQL w wersjach przed 2.24.1 zawiera brak ograniczania szybkości żądań, który pozwala nieuwierzytelnionym atakującym zalewać skrzynki e-mailami resetującymi hasło poprzez aliasowanie mutacji sendPasswordResetEmail. Atakujący może wysłać jedno żądanie HTTP z wieloma aliasami, omijając batch_limit, wyczerpując limity dostawcy poczty i wielokrotnie rotując klucze resetowania, blokując legalne odzyskiwanie hasła.
- CVE-2026-119700Średnie
WPGraphQL w wersjach przed 2.24.2 zawiera podatność na ujawnienie informacji, która pozwala nieuwierzytelnionym atakującym ustalić istnienie obiektów na podstawie różnych odpowiedzi błędów. Atakujący może iterować identyfikatory w mutacjach deleteMediaItem, updateMediaItem, deleteComment i updateComment, aby odkryć ukryte szkice, wpisy prywatne, usunięte, niestandardowe typy wpisów i niezatwierdzone komentarze.
- CVE-2026-109703Średnie
Wtyczka WPGraphQL dla WordPressa ma brak autoryzacji, co pozwala na odzyskiwanie osadzonych wrażliwych danych. Podatność dotyczy wszystkich wersji od n/a do 2.23.1.
- CVE-2026-88974Średnie
Wtyczka WPGraphQL dla WordPressa przed wersją 2.22.2 nie egzekwuje uprawnień na poziomie obiektu w mutacji updatePost. Uwierzytelniony użytkownik z rolą Contributor może publikować własne szkice bez zatwierdzenia redakcyjnego lub modyfikować własne już opublikowane wpisy, mimo braku uprawnienia edit_published_posts.
- CVE-2026-54768Średnie
Wtyczka WPGraphQL dla WordPress w wersjach od 2.0.0 do 2.15.1 zawiera podatność. Przestarzałe pole user w SendPasswordResetEmailPayload pozwala nieuwierzytelnionemu atakującemu odróżnić istniejące konta autorskie poprzez mutację sendPasswordResetEmail i uzyskać publiczne pola profilu.
- CVE-2026-40762Wysokie
W WPGraphQL w wersjach poniżej 2.11.1 występuje podatność na nieautoryzowany atak SQL Injection.
- CVE-2025-68604Średnie
Podatność Cross-Site Request Forgery (CSRF) w wtyczce WPGraphQL w wersjach od n/a do 2.5.3. Atakujący może wymusić na zalogowanym użytkowniku wykonanie niepożądanych akcji.
Oryginalny opis (angielski, źródło NVD)
WPGraphQL before 2.24.1 contains a missing authorization vulnerability in the createComment mutation that allows unauthenticated attackers to comment on non-public posts by bypassing post status checks. Attackers can attach comments to draft, private, trashed, or password-protected posts to leak hidden titles via moderator notifications, enumerate post IDs, and backdate comments or mark them as pingbacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS