CVE-2026-92099

ŚrednieCVSS 6.5

Opublikowano: 19/09/2026(UTC)Zaktualizowano: 21/09/2026(UTC)Przetłumaczono: 19/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

Wtyczka WPGraphQL Smart Cache dla WordPressa przed wersją 2.3.2 nie wymaga autoryzacji ani nie weryfikuje identyfikatora zapytania dostarczonego przez wywołującego przed zapisaniem trwałego zapytania z żądania. Pozwala to nieuwierzytelnionym użytkownikom na publikowanie dowolnych dokumentów zapytań i zajmowanie aliasów zapytań przed ich zarejestrowaniem przez frontend strony.

Ocena ryzyka

Atakujący mogą manipulować pamięcią podręczną zapytań, co może prowadzić do zatrucia pamięci podręcznej, wycieku danych lub zakłócenia działania aplikacji.

Rekomendacja

Zaktualizuj wtyczkę WPGraphQL Smart Cache do wersji 2.3.2 lub nowszej. Dodatkowo wymagaj autoryzacji dla operacji zapisywania trwałych zapytań.

Inne podatności w WPGraphQL Smart Cache

CVE-2026-119699Średnie
WPGraphQL Smart Cache w wersjach przed 2.3.3 zawiera podatność na niekontrolowane zużycie zasobów, która pozwala nieuwierzytelnionym atakującym trwale zapisywać nieograniczoną liczbę dokumentów zapytań przez obsługę Automatic Persisted Query. Atakujący może wysyłać różne zapytania z pasującymi wartościami queryId SHA-256, w tym operacje wsadowe, aby nieograniczenie powiększać tabelę wp_posts i pogarszać wydajność bazy danych.

Oryginalny opis (angielski, źródło NVD)

The WPGraphQL Smart Cache WordPress plugin before 2.3.2 does not require authorisation or validate a caller-supplied query identifier before storing a persisted query from a request, allowing unauthenticated users to publish arbitrary query documents and claim query aliases before a site's own frontend registers them.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS