CVE-2026-84098
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Directorist w wersji przed 8.9.5 nie weryfikuje prawidłowo właściciela ogłoszenia przed jego usunięciem. Umożliwia to uwierzytelnionym atakującym z uprawnieniami subskrybenta i wyższymi usunięcie dowolnych ogłoszeń, w tym należących do innych użytkowników. Jest to niekompletna poprawka CVE-2023-1889 / CVE-2023-35052 — osobna, niezałatana ścieżka usuwania ogłoszeń pozwala na ten sam skutek od wersji 3.1.0 do obecnego wydania.
Ocena ryzyka
Użytkownik o niskich uprawnieniach może usunąć dowolne ogłoszenia, w tym należące do innych osób, powodując utratę danych i zakłócenie działania serwisu. Problem dotyczy wielu wersji i może być wykorzystany masowo.
Rekomendacja
Zaktualizuj wtyczkę Directorist do wersji 8.9.5 lub nowszej. Zweryfikuj, czy wszystkie ścieżki usuwania ogłoszeń sprawdzają właściciela, oraz przejrzyj kopie zapasowe pod kątem utraconych danych.
Inne podatności w Directorist WordPress plugin
Zobacz wszystkie- CVE-2026-84150Średnie
Wtyczka WordPress Directorist w wersji przed 8.9.5 nie weryfikuje, czy docelowy użytkownik trasy REST odpowiada uwierzytelnionemu wywołującemu, przed odczytem i modyfikacją zapisanych ulubionych tego użytkownika. Umożliwia to każdemu zalogowanemu użytkownikowi z uprawnieniami subskrybenta przeglądanie i zmianę ulubionych innego użytkownika.
- CVE-2026-84046Średnie
Wtyczka WordPress Directorist w wersji przed 8.9.5 nie waliduje adresu URL dostarczonego przez użytkownika przed pobraniem go po stronie serwera. Umożliwia to użytkownikom z rolą subskrybenta i wyższą zmuszenie serwera do wysyłania żądań do adresów wewnętrznych.
- CVE-2025-12174Średnie
Wtyczka Directorist dla WordPressa (wersje do 8.5.2 włącznie) nie sprawdza uprawnień w akcjach AJAX 'directorist_prepare_listings_export_file' i 'directorist_type_slug_change'. Uwierzytelniony użytkownik z rolą Subscriber lub wyższą może wyeksportować dane ogłoszeń oraz zmienić slug wtyczki.
Oryginalny opis (angielski, źródło NVD)
The Directorist: AI-Powered Business Directory, Listings & Classified Ads WordPress plugin before 8.9.5 does not properly verify a listing's ownership before deleting it, allowing authenticated attackers with Subscriber-level access and above to delete arbitrary listings, including ones belonging to other users. This is an incomplete fix of CVE-2023-1889 / CVE-2023-35052: a separate, unaddressed listing-deletion path allows the same impact, from at least version 3.1.0 through the current release.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS