CVE-2026-88974
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Wtyczka WPGraphQL dla WordPressa przed wersją 2.22.2 nie egzekwuje uprawnień na poziomie obiektu w mutacji updatePost. Uwierzytelniony użytkownik z rolą Contributor może publikować własne szkice bez zatwierdzenia redakcyjnego lub modyfikować własne już opublikowane wpisy, mimo braku uprawnienia edit_published_posts.
Ocena ryzyka
Organizacja może doświadczyć nieautoryzowanej publikacji lub modyfikacji treści przez użytkowników o niskich uprawnieniach, co narusza proces redakcyjny i kontrolę nad publikowanymi materiałami.
Rekomendacja
Zaktualizuj wtyczkę WPGraphQL do wersji 2.22.2 lub nowszej. Do czasu aktualizacji rozważ ograniczenie ról Contributor lub audyt wpisów publikowanych przez te konta.
Inne podatności w WPGraphQL
Zobacz wszystkie- CVE-2026-119702Średnie
WPGraphQL w wersjach przed 2.24.1 zawiera brak autoryzacji w mutacji createComment, który pozwala nieuwierzytelnionym atakującym komentować niepubliczne wpisy poprzez obejście sprawdzania statusu wpisu. Atakujący może dołączać komentarze do szkiców, wpisów prywatnych, usuniętych lub chronionych hasłem, ujawniając ukryte tytuły przez powiadomienia moderatorów, wyliczając identyfikatory wpisów oraz ustawiając daty wsteczne lub oznaczając komentarze jako pingbacki.
- CVE-2026-119701Średnie
WPGraphQL w wersjach przed 2.24.1 zawiera brak ograniczania szybkości żądań, który pozwala nieuwierzytelnionym atakującym zalewać skrzynki e-mailami resetującymi hasło poprzez aliasowanie mutacji sendPasswordResetEmail. Atakujący może wysłać jedno żądanie HTTP z wieloma aliasami, omijając batch_limit, wyczerpując limity dostawcy poczty i wielokrotnie rotując klucze resetowania, blokując legalne odzyskiwanie hasła.
- CVE-2026-119700Średnie
WPGraphQL w wersjach przed 2.24.2 zawiera podatność na ujawnienie informacji, która pozwala nieuwierzytelnionym atakującym ustalić istnienie obiektów na podstawie różnych odpowiedzi błędów. Atakujący może iterować identyfikatory w mutacjach deleteMediaItem, updateMediaItem, deleteComment i updateComment, aby odkryć ukryte szkice, wpisy prywatne, usunięte, niestandardowe typy wpisów i niezatwierdzone komentarze.
- CVE-2026-109703Średnie
Wtyczka WPGraphQL dla WordPressa ma brak autoryzacji, co pozwala na odzyskiwanie osadzonych wrażliwych danych. Podatność dotyczy wszystkich wersji od n/a do 2.23.1.
- CVE-2026-54768Średnie
Wtyczka WPGraphQL dla WordPress w wersjach od 2.0.0 do 2.15.1 zawiera podatność. Przestarzałe pole user w SendPasswordResetEmailPayload pozwala nieuwierzytelnionemu atakującemu odróżnić istniejące konta autorskie poprzez mutację sendPasswordResetEmail i uzyskać publiczne pola profilu.
- CVE-2026-40762Wysokie
W WPGraphQL w wersjach poniżej 2.11.1 występuje podatność na nieautoryzowany atak SQL Injection.
- CVE-2025-68604Średnie
Podatność Cross-Site Request Forgery (CSRF) w wtyczce WPGraphQL w wersjach od n/a do 2.5.3. Atakujący może wymusić na zalogowanym użytkowniku wykonanie niepożądanych akcji.
Oryginalny opis (angielski, źródło NVD)
WPGraphQL provides a GraphQL API for WordPress sites. Prior to 2.22.2, the updatePost mutation in src/Mutation/PostObjectUpdate.php checks only the collection-level edit_posts capability and the post author, but does not enforce the object-level edit_post capability or require publish_posts for public status transitions. An authenticated Contributor can therefore publish the Contributor's own draft without editorial approval or modify the Contributor's previously published post despite lacking edit_published_posts, while posts owned by other authors remain protected. This issue is fixed in version 2.22.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS