CVE-2026-120548
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Wtyczka YML for Yandex Market dla WordPressa w wersjach do 5.10.0 włącznie pozwala nieuwierzytelnionym atakującym na ujawnienie danych wrażliwych poprzez parametr 'y4ym_check_action'. Atakujący może odczytać jawny klucz API Yandex Market zapisany w publicznie dostępnym pliku logu, co daje pełną kontrolę nad katalogiem, cenami i stanami magazynowymi sprzedawcy.
Ocena ryzyka
Ujawnienie klucza API umożliwia przejęcie kontroli nad katalogiem produktów i cenami w marketplace, co może prowadzić do strat finansowych i utraty reputacji. Warunki wykorzystania (zapisany klucz API i włączona opcja y4ym_keeplogs) odpowiadają normalnemu, zalecanemu użyciu wtyczki.
Rekomendacja
Zaktualizuj wtyczkę do wersji nowszej niż 5.10.0, wyłącz opcję y4ym_keeplogs i usuń plik logu z katalogu wp-content/uploads/y4ym/. W razie potrzeby unieważnij i wygeneruj ponownie klucz API Yandex Market.
Inne podatności w YML for Yandex Market
Oryginalny opis (angielski, źródło NVD)
The YML for Yandex Market plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 5.10.0 via the 'y4ym_check_action' parameter. This makes it possible for unauthenticated attackers to extract the merchant's plaintext Yandex Market API key written to the publicly accessible log file at wp-content/uploads/y4ym/yml-for-yandex-market.log, granting full control over the merchant's marketplace catalogue, prices, and stock. Exploitation requires that the targeted feed has a stored Yandex Market API key and that the y4ym_keeplogs option is enabled — both conditions that represent normal, documented plugin usage actively encouraged by the plugin's own support and feedback workflow.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS