CVE-2026-89004

NiskieCVSS 2.7

Opublikowano: 24/09/2026(UTC)Zaktualizowano: 24/09/2026(UTC)Przetłumaczono: 24/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.15%

Percentyl 3 - wyżej niż 3% wszystkich znanych CVE

Streszczenie

Wtyczka WPeMatico RSS Feed Fetcher dla WordPressa w wersji przed 2.8.26 nie weryfikuje własności ani autoryzacji przed zwróceniem zapisanej konfiguracji kampanii i dziennika uruchomień. Umożliwia to użytkownikom z dostępem na poziomie współpracownika i wyższym odczytanie konfiguracji i dzienników wykonania kampanii utworzonych przez innych użytkowników, w tym administratorów.

Ocena ryzyka

Nieautoryzowany dostęp do konfiguracji i dzienników kampanii może ujawnić poufne informacje i naruszyć prywatność innych użytkowników.

Rekomendacja

Zaktualizuj wtyczkę WPeMatico RSS Feed Fetcher do wersji 2.8.26 lub nowszej.

Inne podatności w WPeMatico RSS Feed Fetcher WordPress Plugin

CVE-2026-110252Średnie
Wtyczka WPeMatico RSS Feed Fetcher dla WordPressa (wersje do 2.9 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS), ponieważ usuwa filtr wp_filter_post_kses przed zapisem treści z kanału RSS. Nieuwierzytelniony atakujący, który opublikuje lub przejmie kanał RSS subskrybowany przez administratora, może wstrzyknąć dowolne skrypty do importowanych postów.

Oryginalny opis (angielski, źródło NVD)

The WPeMatico RSS Feed Fetcher WordPress plugin before 2.8.26 does not verify ownership or authorization before returning a campaign's stored configuration and run log, allowing users with contributor-level access and above to read the configuration and execution logs of campaigns created by other users, including administrators.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS