CVE-2026-4401
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wtyczka Download Monitor dla WordPressa do wersji 5.1.10 włącznie jest podatna na Cross-Site Request Forgery (CSRF) w funkcjach actions_handler() i bulk_actions_handler(). Brak weryfikacji nonce umożliwia nieuwierzytelnionemu atakującemu usunięcie, wyłączenie lub włączenie zatwierdzonych ścieżek pobierania poprzez sfałszowane żądanie, pod warunkiem nakłonienia administratora do kliknięcia w link.
Ocena ryzyka
Atakujący może manipulować ścieżkami pobierania, co może prowadzić do nieautoryzowanego dostępu do plików lub zakłócenia działania wtyczki.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Download Monitor do najnowszej dostępnej wersji, która usuwa tę podatność.
Inne podatności w Download Monitor
Zobacz wszystkie- CVE-2026-110375Średnie
Wtyczka WP Chill Download Monitor zawiera podatność typu Cross-site Scripting (Stored XSS) wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem dotyczy wersji od n/a do 5.3.3.
- CVE-2026-100182Wysokie
Wtyczka Download Monitor dla WordPressa jest podatna na przechowywany atak XSS przez postMessage do edytora administratora. Brak odpowiedniego czyszczenia danych wejściowych i wyjściowych pozwala nieuwierzytelnionym atakującym wstrzyknąć skrypty, które wykonają się po otwarciu zainfekowanej strony.
- CVE-2026-39489Średnie
W wersjach Download Monitor do 5.1.9 występuje podatność, która pozwala na pobieranie dowolnych plików przez nieautoryzowanych użytkowników.
- CVE-2026-39486Wysokie
Wtyczka Download Monitor dla WordPressa do wersji 5.1.8 włącznie zawiera podatność na ślepą iniekcję SQL spowodowaną niewłaściwą neutralizacją specjalnych elementów w zapytaniach SQL.
Oryginalny opis (angielski, źródło NVD)
The Download Monitor plugin for WordPress is vulnerable to Cross-Site Request Forgery in the `actions_handler()` and `bulk_actions_handler()` methods in `class-dlm-downloads-path.php` in all versions up to, and including, 5.1.10. This is due to missing nonce verification on these functions. This makes it possible for unauthenticated attackers to delete, disable, or enable approved download paths via a forged request granted they can trick a site administrator into performing an action such as clicking on a link.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS