CVE-2026-12102
NiskieCVSS 2.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 — wyżej niż 20% wszystkich znanych CVE
Streszczenie
Wtyczka UsersWP do WordPressa jest podatna na nieautoryzowany dostęp do obiektów w wersjach do 1.2.63 włącznie. Atakujący z dostępem na poziomie edytora mogą zresetować lub trwale usunąć awatar lub obrazek banera dowolnego użytkownika.
Ocena ryzyka
Podatność ta może prowadzić do utraty danych użytkowników oraz naruszenia prywatności, co może wpłynąć na reputację organizacji. Administratorzy mogą stać się celem ataków, co zwiększa ryzyko dla całego systemu.
Rekomendacja
Zaleca się aktualizację wtyczki UsersWP do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, warto wprowadzić dodatkowe kontrole dostępu do zarządzania danymi użytkowników.
Oryginalny opis (angielski, źródło NVD)
The UsersWP – Front-end login form, User Registration, User Profile & Members Directory plugin for WP plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 1.2.63 via the 'user_id' parameter due to missing validation on a user controlled key. This makes it possible for authenticated attackers, with editor-level access and above, to reset and permanently delete the avatar or banner image of any arbitrary user, including administrators, by clearing their avatar_thumb or banner_thumb metadata in the uwp_usermeta table.