CVE-2026-1242

ŚrednieCVSS 4.3

Opublikowano: 19/09/2026(UTC)Zaktualizowano: 21/09/2026(UTC)Przetłumaczono: 19/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.18%

Percentyl 7 - wyżej niż 7% wszystkich znanych CVE

Streszczenie

Wtyczka BlockSpare dla WordPressa w wersjach do 4.2.6 włącznie jest podatna na obejście autoryzacji z powodu nieprawidłowej logiki w funkcji zwrotnej uprawnień, gdzie użyto operatora AND (&&) zamiast OR (||). Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może obejść kontrole autoryzacji i tworzyć dowolne wpisy.

Ocena ryzyka

Atakujący może tworzyć dowolne wpisy, co może prowadzić do zaśmiecenia witryny lub publikacji nieautoryzowanych treści. Może to wpłynąć na integralność i wiarygodność witryny.

Rekomendacja

Zaktualizuj wtyczkę BlockSpare do wersji nowszej niż 4.2.6. Do czasu aktualizacji ogranicz uprawnienia subskrybentów i monitoruj nowe wpisy.

Inne podatności w BlockSpare

CVE-2025-62026Średnie
Wtyczka Blockspare (wersje do 3.2.13.2) zawiera podatność polegającą na wstawianiu poufnych informacji do wysyłanych danych. Może to pozwolić na wyciągnięcie osadzonych poufnych danych.

Oryginalny opis (angielski, źródło NVD)

The BlockSpare plugin for WordPress is vulnerable to authorization bypass due to incorrect logic in the permission callback in all versions up to, and including, 4.2.6 due to the use of an AND (&&) operator instead of an OR (||) operator. This makes it possible for authenticated attackers, with Subscriber-level access and above, to bypass authorization checks and create arbitrary posts.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS