CVE-2026-16258
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
Wtyczka Ajax Search Lite dla WordPressa przed wersją 4.14.5 nie zapobiega deserializacji niezaufanych danych wejściowych, co pozwala nieuwierzytelnionym atakującym na przeprowadzenie PHP Object Injection. Gdy odpowiedni łańcuch POP jest obecny przez inną zainstalowaną wtyczkę, może to zostać wykorzystane do zdalnego wykonania kodu.
Ocena ryzyka
Ryzyko obejmuje możliwość zdalnego wykonania kodu przez nieuwierzytelnionego atakującego, co może prowadzić do pełnego przejęcia witryny WordPress i naruszenia danych.
Rekomendacja
Zaleca się aktualizację wtyczki Ajax Search Lite do wersji 4.14.5 lub nowszej. Należy również unikać instalowania dodatkowych wtyczek, które mogą dostarczać łańcuchy POP.
Inne podatności w Ajax Search Lite
Zobacz wszystkie- CVE-2026-28139Krytyczne
Nieuwierzytelniona podatność PHP Object Injection w wtyczce Ajax Search Lite w wersjach do 4.14.4.
- CVE-2026-110360Średnie
Wtyczka WordPress 'Ajax Search Lite' (wersje do 4.14.5) zawiera podatność braku autoryzacji, która umożliwia wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.
- CVE-2025-48086Średnie
Wtyczka WordPress Ajax Search Lite (wersje do 4.13.3 włącznie) jest podatna na deserializację niezaufanych danych, co umożliwia atakującemu wstrzyknięcie obiektów (Object Injection). Podatność wynika z niebezpiecznego przetwarzania danych wejściowych.
Oryginalny opis (angielski, źródło NVD)
The Ajax Search Lite WordPress plugin before 4.14.5 does not prevent the deserialization of untrusted input, allowing unauthenticated attackers to perform PHP Object Injection. When a suitable POP chain is present via another installed Ajax Search Lite WordPress plugin before 4.14.5 or , this can be leveraged to achieve Remote Code Execution.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS