CVE-2026-66709
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 57 - wyżej niż 57% wszystkich znanych CVE
Streszczenie
Wtyczka CTX Feed w wersjach do 6.6.42 zawiera podatność na zdalne wykonanie kodu (RCE) przez menedżera sklepu. Atakujący z uprawnieniami menedżera sklepu może wykorzystać tę podatność do wykonania dowolnego kodu na serwerze.
Ocena ryzyka
Podatność umożliwia atakującemu z uprawnieniami menedżera sklepu przejęcie kontroli nad serwerem, co może prowadzić do naruszenia integralności danych i dostępności usług.
Rekomendacja
Zaleca się aktualizację wtyczki CTX Feed do wersji nowszej niż 6.6.42, aby wyeliminować podatność.
Inne podatności w CTX Feed
Zobacz wszystkie- CVE-2026-15095Średnie
Wtyczka Product Feed Manager for WooCommerce – CTX Feed dla WordPress jest podatna na Directory Traversal we wszystkich wersjach do 6.6.43 włącznie poprzez parametr 'provider'. Uwierzytelniony atakujący z poziomem dostępu shop manager lub wyższym może usuwać dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu po usunięciu krytycznych plików. Wykorzystanie wymaga dwóch sekwencyjnych wywołań REST API.
- CVE-2026-73383Średnie
Wtyczka CTX Feed w wersji 6.6.47 i starszych ma podatność na dowolne pobieranie plików przez użytkownika z rolą Shop manager. Oznacza to, że menedżer sklepu może pobierać dowolne pliki z serwera, do których nie powinien mieć dostępu.
- CVE-2026-39434Wysokie
W wersjach CTX Feed do 6.6.26 występuje podatność na wstrzykiwanie obiektów PHP w menedżerze sklepu.
Oryginalny opis (angielski, źródło NVD)
Shop manager Remote Code Execution (RCE) in CTX Feed <= 6.6.42 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS