CVE-2026-7559
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Wtyczka Affilia – Affiliate Program & Referral Tracking dla WordPressa w wersjach do 3.3.3 włącznie nie weryfikuje poprawnie uprawnień użytkownika przed wykonaniem akcji. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym zatwierdzanie lub odrzucanie poleceń afiliacyjnych, kredytowanie prowizji w portfelach afiliacyjnych, usuwanie rekordów poleceń oraz modyfikowanie opcji banerów, co prowadzi do oszustw finansowych. Jedyna kontrola uwierzytelniania opiera się na nonce, który jest osadzony na każdej stronie frontendu i dostępny dla każdego uwierzytelnionego użytkownika.
Ocena ryzyka
Organizacja narażona jest na manipulację programem afiliacyjnym, w tym nieautoryzowane zatwierdzanie prowizji i modyfikację ustawień, co może skutkować stratami finansowymi i naruszeniem integralności systemu.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Affilia do najnowszej dostępnej wersji, która usuwa tę podatność, oraz przejrzeć logi aktywności w poszukiwaniu śladów nieautoryzowanych działań.
Powiązane podatności
- CVE-2026-124079Krytyczne
rConfig Core w wersji 8.0.0 przed 8.2.19 oraz rConfig Pro przed 8.4.1 zawierają podatność deserializacji niezaufanych danych. Nieuwierzytelniony atakujący może umieścić spreparowane zadanie w kolejce Laravel Horizon opartej na Redis, co prowadzi do wykonania dowolnego kodu przez klasę App\Jobs\TaskDownloadRun i pakiet laravel/tinker.
- CVE-2026-110469Krytyczne
WidzialniCMS jest podatny na nieograniczone przesyłanie plików w punkcie końcowym /panel/upload.php. Z powodu parametru sprawdzania uprawnień kontrolowanego przez klienta oraz niewystarczającej walidacji parametru uploadPath nieuwierzytelniony atakujący może przesłać dowolne pliki w dowolne miejsca na serwerze, co prowadzi do zdalnego wykonania kodu.
- CVE-2026-110468Krytyczne
WidzialniCMS jest podatny na nieograniczone przesyłanie plików w punkcie końcowym /panel/controllers/save_photo.php. Z powodu parametru sprawdzania uprawnień kontrolowanego przez klienta oraz niewystarczającej walidacji parametru currentpath nieuwierzytelniony atakujący może przesłać dowolne pliki w dowolne miejsca na serwerze, co prowadzi do zdalnego wykonania kodu.
- CVE-2026-118462Krytyczne
Komponenty aktualizacji pobierają i wykonują kod bez właściwej weryfikacji autentyczności, opierając się na ignorowanych haszach lub podrabialnych sumach kontrolnych. Niektóre ścieżki aktualizacji pozwalają również na traversal archiwum lub wykonanie skryptu.
- CVE-2026-115252Krytyczne
Wtyczka WordPress Confection Cable w wersjach 0.4.0–0.4.7 nie sprawdza uprawnień ani tokenów nonce przed zapisaniem ustawień, a jedną z wartości zapisuje bez modyfikacji do samodzielnego pliku PHP, który następnie udostępnia. Umożliwia to nieuwierzytelnionym użytkownikom wykonanie dowolnego kodu PHP na serwerze.
- CVE-2026-124585Krytyczne
W urządzeniach VW2100 i VEC10GP firmy Chengdu Feiyuxing Technology wykryto podatność w interfejsie administracji webowej. Funkcja add_expmac w pliku var/html/webserver nieprawidłowo obsługuje argument mac, co prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny.
- CVE-2026-123870Krytyczne
Aplikacja webowa otterdog ocenia format-string zbudowany z treści webhooka GitHub przy użyciu funkcji eval() w Pythonie. Gdy konfiguracja GITHUB_WEBHOOK_SECRET jest nieustawiona lub pusta (domyślnie None), weryfikacja podpisu HMAC jest całkowicie pomijana. Umożliwia to nieuwierzytelnionemu klientowi sieciowemu dotarcie do eval() z danymi kontrolowanymi przez atakującego i wykonanie dowolnego kodu Pythona na hoście.
- CVE-2026-124580Krytyczne
W urządzeniu Chengdu Feiyuxing Technology VW2100 i VEC10GP (wersja 1.0 B-MB3W202-210825-r11775) wykryto podatność w funkcji handle_wechat_cn_wifi w pliku var/html/webserver, w komponencie Weixin Auth Endpoint. Manipulacja argumentem extend prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-124577Krytyczne
W urządzeniu Intelbras SG 2404 PoE L2+ w wersjach 1.00.70 i 1.00.72 wykryto słabość w nieznanej funkcji pliku /EXCU_SHELL w komponencie Web Management Interface. Manipulacja może prowadzić do nieprawidłowego uwierzytelniania. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-113364Krytyczne
Przepełnienie bufora w procesie odbierania danych w NEC WebSAM WinShare w wersjach 7.5.0 i wcześniejszych, 7.6.0 oraz 7.7.0–7.7.2 na Windows pozwala nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnego kodu z uprawnieniami SYSTEM poprzez spreparowany pakiet z nieprawidłową wartością rozmiaru danych w nagłówku protokołu.
Oryginalny opis (angielski, źródło NVD)
The Affilia – Affiliate Program & Referral Tracking for WordPress plugin for WordPress is vulnerable to unauthorized access in all versions up to, and including, 3.3.3. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with subscriber-level access and above, to approve or reject affiliate referrals, credit commissions to affiliate wallets, delete referral records, and modify custom banner plugin options, enabling financial fraud. The nonce required to pass the only authentication check is embedded in every frontend page load via rtwalwm_global_params.rtwalwm_nonce, making it trivially accessible to any authenticated user regardless of role.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS