CVE-2026-120846
ŚrednieCVSS 5.3Streszczenie
W wtyczce Uncanny Automator (Uncanny Owl) występuje podatność braku autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 7.7.1.
Ocena ryzyka
Nieautoryzowany użytkownik może wykonać akcje, do których nie powinien mieć dostępu, co może prowadzić do modyfikacji konfiguracji lub danych. Może to naruszyć integralność i poufność witryny WordPress.
Rekomendacja
Zaktualizuj wtyczkę Uncanny Automator do wersji nowszej niż 7.7.1. Przeglądaj i ograniczaj uprawnienia użytkowników oraz monitoruj nietypowe działania automatyzacji.
Inne podatności w Uncanny Automator
Zobacz wszystkie- CVE-2026-15025Wysokie
Wtyczka Uncanny Automator dla WordPress do wersji 7.3.2 włącznie zawiera brak autoryzacji w kilku akcjach AJAX. Brakuje sprawdzenia uprawnień i weryfikacji nonce, co pozwala uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta i wyższym na wyliczanie wrażliwych grup/kontaktów Google oraz segmentów, tagów i definicji pól kontaktowych Mautic.
- CVE-2026-82627Wysokie
Wtyczka Uncanny Automator – AI + Automation for WordPress | AI Agent, AI Page Builder, Free AI Usage Included dla WordPress jest podatna na wstrzyknięcie obiektu PHP we wszystkich wersjach do 7.6.1.1 włącznie, poprzez deserializację niezaufanych danych. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyższym wstrzyknięcie obiektu PHP, gdy zainstalowana jest wtyczka integracyjna innej firmy (takiej jak PeepSo, MailPoet, WPForms itp.) i skonfigurowany jest przepis, który przechowuje dane kontrolowane przez atakującego jako metadane wyzwalacza. Dodatkowa obecność łańcucha POP w Uncanny Automator pozwala atakującym na usuwanie dowolnych plików na serwerze.
- CVE-2026-65462Wysokie
Wtyczka Uncanny Automator w wersji 7.3.2 i starszych umożliwia administratorowi wstrzyknięcie SQL (SQL Injection). Administrator może wykonać dowolne zapytania SQL do bazy danych.
- CVE-2026-15008Wysokie
Wtyczka Uncanny Automator dla WordPressa w wersjach do 7.3.1.4 zawiera podatność na usuwanie dowolnych plików z powodu niewystarczającej walidacji ścieżki w funkcji fr_token. Niezautoryzowani atakujący mogą usunąć krytyczne pliki, takie jak wp-config.php, co może prowadzić do zdalnego wykonania kodu. Eksploatacja wymaga formularza Forminator połączonego z przepływem Uncanny Automator skonfigurowanym dla wszystkich użytkowników.
- CVE-2025-66056Średnie
Wtyczka Uncanny Automator (wersje poniżej 6.10.0) ujawnia wrażliwe informacje systemowe nieautoryzowanym podmiotom. Może to pozwolić na pobranie osadzonych danych wrażliwych.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization vulnerability in Uncanny Owl Uncanny Automator uncanny-automator allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects Uncanny Automator: from n/a through 7.7.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS