CVE-2026-40762

WPGraphQL w wersjach przed 2.24.1 zawiera brak autoryzacji w mutacji createComment, który pozwala nieuwierzytelnionym atakującym komentować niepubliczne wpisy poprzez obejście sprawdzania statusu wpisu. Atakujący może dołączać komentarze do szkiców, wpisów prywatnych, usuniętych lub chronionych hasłem, ujawniając ukryte tytuły przez powiadomienia moderatorów, wyliczając identyfikatory wpisów oraz ustawiając daty wsteczne lub oznaczając komentarze jako pingbacki.

WPGraphQL w wersjach przed 2.24.1 zawiera brak ograniczania szybkości żądań, który pozwala nieuwierzytelnionym atakującym zalewać skrzynki e-mailami resetującymi hasło poprzez aliasowanie mutacji sendPasswordResetEmail. Atakujący może wysłać jedno żądanie HTTP z wieloma aliasami, omijając batch_limit, wyczerpując limity dostawcy poczty i wielokrotnie rotując klucze resetowania, blokując legalne odzyskiwanie hasła.

WPGraphQL w wersjach przed 2.24.2 zawiera podatność na ujawnienie informacji, która pozwala nieuwierzytelnionym atakującym ustalić istnienie obiektów na podstawie różnych odpowiedzi błędów. Atakujący może iterować identyfikatory w mutacjach deleteMediaItem, updateMediaItem, deleteComment i updateComment, aby odkryć ukryte szkice, wpisy prywatne, usunięte, niestandardowe typy wpisów i niezatwierdzone komentarze.

Wtyczka WPGraphQL dla WordPressa ma brak autoryzacji, co pozwala na odzyskiwanie osadzonych wrażliwych danych. Podatność dotyczy wszystkich wersji od n/a do 2.23.1.

Wtyczka WPGraphQL dla WordPressa przed wersją 2.22.2 nie egzekwuje uprawnień na poziomie obiektu w mutacji updatePost. Uwierzytelniony użytkownik z rolą Contributor może publikować własne szkice bez zatwierdzenia redakcyjnego lub modyfikować własne już opublikowane wpisy, mimo braku uprawnienia edit_published_posts.

Wtyczka WPGraphQL dla WordPress w wersjach od 2.0.0 do 2.15.1 zawiera podatność. Przestarzałe pole user w SendPasswordResetEmailPayload pozwala nieuwierzytelnionemu atakującemu odróżnić istniejące konta autorskie poprzez mutację sendPasswordResetEmail i uzyskać publiczne pola profilu.

Podatność Cross-Site Request Forgery (CSRF) w wtyczce WPGraphQL w wersjach od n/a do 2.5.3. Atakujący może wymusić na zalogowanym użytkowniku wykonanie niepożądanych akcji.