CVE-2026-77788
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka Rank Math SEO WordPress przed wersją 1.0.277 nie weryfikuje, czy aktualizowany wiersz metadanych należy do obiektu, do którego użytkownik został autoryzowany. Umożliwia to użytkownikom z rolą Autora i wyżej nadpisywanie dowolnych metadanych postów i użytkowników, w tym należących do użytkowników z wyższymi uprawnieniami.
Ocena ryzyka
Ryzyko polega na możliwości manipulowania metadanymi postów i użytkowników, co może prowadzić do eskalacji uprawnień, defacementu treści lub naruszenia integralności danych.
Rekomendacja
Zaleca się aktualizację wtyczki Rank Math SEO do wersji 1.0.277 lub nowszej, która naprawia problem z weryfikacją autoryzacji przy aktualizacji metadanych.
Inne podatności w Rank Math SEO WordPress Plugin
Zobacz wszystkie- CVE-2026-1928Wysokie
Wtyczka Rank Math SEO dla WordPressa jest podatna na wstrzyknięcie obiektu PHP poprzez deserializację niezaufanych danych w punkcie końcowym REST API updateMeta. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć obiekt PHP, a obecność łańcucha POP umożliwia zdalne wykonanie kodu poprzez zapis webshella w katalogu uploads.
- CVE-2026-77782Średnie
Wtyczka Rank Math SEO WordPress przed wersją 1.0.277.1 nie sprawdza, czy post jest chroniony hasłem, zanim użyje jego treści do budowania publicznie generowanych metadanych SEO. Umożliwia to nieuwierzytelnionym użytkownikom odczytanie treści postów chronionych hasłem.
Oryginalny opis (angielski, źródło NVD)
The Rank Math SEO WordPress plugin before 1.0.277 does not verify that the metadata row being updated belongs to the object the user was authorised against, allowing users with the Author role and above to overwrite arbitrary post and user metadata, including that belonging to higher-privileged users.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS