CVE-2026-65478
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka ListingPro w wersjach do 2.9.10 zawiera podatność na złamanie kontroli dostępu przez użytkownika z rolą Subskrybent. Osoba atakująca z takimi uprawnieniami może ominąć mechanizmy kontroli dostępu.
Ocena ryzyka
Użytkownik z rolą Subskrybent może uzyskać nieautoryzowany dostęp do funkcji lub danych, co może prowadzić do eskalacji uprawnień lub wycieku informacji.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki ListingPro do najnowszej dostępnej wersji.
Inne podatności w ListingPro
Zobacz wszystkie- CVE-2026-39438Krytyczne
W wersjach ListingPro do 2.9.10 występuje nieautoryzowana podatność na wstrzykiwanie SQL.
- CVE-2026-42414Wysokie
Wtyczka ListingPro w wersjach do 2.9.12 włącznie zawiera podatność typu SQL Injection, którą może wykorzystać użytkownik z rolą Subscriber. Luka pozwala na wstrzyknięcie złośliwych zapytań SQL do bazy danych.
- CVE-2025-63047Średnie
Brak autoryzacji w motywie ListingPro od CridioStudio umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 2.9.9 włącznie.
- CVE-2025-63046Średnie
Podatność typu DOM-Based XSS w wtyczce ListingPro pozwala na wstrzykiwanie złośliwego skryptu do strony generowanej przez wtyczkę. Atakujący może wykorzystać to do wykonania skryptu w przeglądarce ofiary.
- CVE-2025-60103Średnie
Wtyczka ListingPro do WordPressa posiada podatność braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 2.9.8 włącznie.
Oryginalny opis (angielski, źródło NVD)
Subscriber Broken Access Control in ListingPro <= 2.9.10 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS