CVE-2026-6506
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Wtyczka InfusedWoo Pro dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do 5.1.2 włącznie. Problem wynika z braku sprawdzenia autoryzacji i uprawnień w funkcji infusedwoo_gdpr_upddata(), co pozwala na aktualizację kluczy meta użytkownika przez atakujących z poziomem dostępu subskrybenta i wyżej.
Ocena ryzyka
Atakujący mogą uzyskać uprawnienia administratora, co stwarza poważne zagrożenie dla bezpieczeństwa całej witryny. Może to prowadzić do nieautoryzowanego dostępu do danych i możliwości wprowadzenia zmian w systemie.
Rekomendacja
Zaleca się aktualizację wtyczki InfusedWoo Pro do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, warto przeprowadzić audyt uprawnień użytkowników w systemie.
Inne podatności w InfusedWoo Pro plugin for WordPress
Zobacz wszystkie- CVE-2026-6512Krytyczne
Wtyczka InfusedWoo Pro dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do i włącznie z 5.1.2. Problem wynika z niewłaściwego weryfikowania uprawnień użytkowników do wykonywania określonych działań.
- CVE-2026-6510Krytyczne
Wtyczka InfusedWoo Pro dla WordPressa jest podatna na eskalację uprawnień z powodu braku autoryzacji we wszystkich wersjach do 5.1.2 włącznie. Problem wynika z braku weryfikacji nonce oraz sprawdzenia uprawnień w handlerze AJAX iwar_save_recipe().
- CVE-2026-6514Wysokie
Wtyczka InfusedWoo Pro dla WordPressa jest podatna na nieautoryzowane odczyty plików w wersjach do 5.1.2 włącznie, poprzez funkcję popup_submit. Umożliwia to nieautoryzowanym atakującym wysyłanie żądań do dowolnych lokalizacji, co może prowadzić do zapytań i modyfikacji informacji z wewnętrznych usług.
Oryginalny opis (angielski, źródło NVD)
The InfusedWoo Pro plugin for WordPress is vulnerable to privilege escalation in all versions up to, and including, 5.1.2. This is due to the infusedwoo_gdpr_upddata() function missing authorization and capability checks, as well as lacking restrictions on which user meta keys can be updated. This makes it possible for authenticated attackers, with subscriber-level access and above, to update their own wp_capabilities user meta to grant themselves Administrator role privileges.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS