CVE-2026-92433
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Patreon w wersji przed 1.10.0 nie weryfikuje nonce podczas łączenia witryny z kontem Patreon. Umożliwia to atakującym zmuszenie zalogowanego administratora do ponownego powiązania integracji z kontem kontrolowanym przez atakującego poprzez spreparowane żądanie (CSRF), przejmując integrację Patreon witryny.
Ocena ryzyka
Atakujący może przejąć integrację Patreon witryny, przekierowując płatności i treści na własne konto, co może skutkować utratą przychodów i kontroli nad integracją.
Rekomendacja
Zaktualizuj wtyczkę Patreon do wersji 1.10.0 lub nowszej.
Inne podatności w Patreon WordPress plugin
Zobacz wszystkie- CVE-2026-92432Średnie
Wtyczka WordPress Patreon w wersji przed 1.10.0 nie waliduje docelowego adresu przekierowania podanego przez użytkownika przed przekierowaniem. Umożliwia to nieuwierzytelnionym atakującym przekierowanie odwiedzających na dowolny zewnętrzny adres URL poprzez spreparowany link, co jest przydatne do phishingu.
- CVE-2026-92431Niskie
Wtyczka WordPress Patreon w wersji przed 1.10.0 nie wykonuje sprawdzenia autoryzacji dla części swojej funkcjonalności. Umożliwia to nieuwierzytelnionym użytkownikom wyliczenie nazw terminów w dowolnej taksonomii, w tym taksonomii niepublicznych, których WordPress nie udostępnia na froncie.
Oryginalny opis (angielski, źródło NVD)
The Patreon WordPress plugin before 1.10.0 does not verify a nonce when connecting the site to a Patreon account, allowing attackers to make a logged-in administrator re-link the integration to an attacker-controlled account via a crafted request (CSRF), taking over the site's Patreon integration.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS