CVE-2026-92807
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka Save as PDF Plugin by PDFCrowd dla WordPressa (wersje do 4.6.1 włącznie) pozwala na wywołanie dowolnych funkcji PHP przez atrybut shortcode pdf_created_callback. Funkcja eval_shortcode() kopiuje atrybuty bez sanityzacji, a następnie są one szyfrowane i przekazywane do nieuwierzytelnionego endpointu, gdzie są odszyfrowywane i wywoływane bez sprawdzenia is_callable(). Uwierzytelniony atakujący z poziomem Contributor może wywołać dowolne funkcje PHP.
Ocena ryzyka
Uwierzytelniony atakujący z niskimi uprawnieniami może ujawnić klucz API PDFCrowd i nazwę użytkownika lub doprowadzić do dalszych nadużyć po stronie serwera.
Rekomendacja
Zaktualizuj wtyczkę Save as PDF Plugin by PDFCrowd do wersji nowszej niż 4.6.1 lub ją wyłącz, jeśli aktualizacja nie jest możliwa.
Powiązane podatności
- CVE-2026-59105Krytyczne
Jumis (dawniej Tildes Jumis) tworzy konto logowania Microsoft SQL Server o nazwie ##Tilde_JumisAdmin##, którego hasło jest wyliczane deterministycznie z jednego niejawnego wejścia — nazwy serwera SQL (@@servername). Algorytm wyprowadzania hasła jest zaszyty w aplikacji klienckiej i identyczny w każdej instalacji, a zawiera wbudowany klucz tajny. Ponieważ jedyne wejście (nazwa serwera) nie jest tajne, każda osoba mogąca połączyć się z serwerem SQL Jumis może obliczyć hasło offline i uwierzytelnić się.
- CVE-2026-123488Krytyczne
Craft CMS w wersjach 4.0.0 do 4.18.9 oraz 5.0.0 do 5.11.2 zawiera nieuwierzytelnioną podatność SQL injection w punkcie końcowym wyszukiwania elementów, ponieważ parametr attribute jest wstawiany do zapytania bez sanityzacji, a emulowane przygotowania PDO pozwalają na łączenie instrukcji. Zdalni atakujący mogą odczytywać i zapisywać bazę danych, ustawiając flagę administratora lub nadpisując hasła w tabeli użytkowników, aby uzyskać dostęp administracyjny.
- CVE-2026-114630Krytyczne
Wtyczka ELEX WordPress HelpDesk & Customer Ticketing System jest podatna na usuwanie dowolnych plików z powodu niewystarczającej walidacji ścieżki w funkcji factory_reset we wszystkich wersjach do 3.3.8 włącznie. Nieuwierzytelniony atakujący może usunąć dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu po usunięciu odpowiedniego pliku (np. wp-config.php). Podatność jest wykorzystywana w dwuetapowym łańcuchu: najpierw zapisanie wartości ticket_attachment_path przez publiczny endpoint AJAX, a następnie wywołanie resetu fabrycznego przez żądanie GET.
- CVE-2026-107622Krytyczne
Wtyczka BuddyForms dla WordPress jest podatna na eskalację uprawnień we wszystkich wersjach do 2.10.5 włącznie poprzez atak mylenia typu formularza przez parametr bf_post_type. Nieuwierzytelniony atakujący może wstawić złośliwą konfigurację formularza z kontrolowaną wartością new_user_role do globalnego rejestru formularzy, a następnie zarejestrować konto z uprawnieniami administratora. Wymaga to włączonej opcji "Każdy może się zarejestrować" i co najmniej jednego publicznego formularza BuddyForms.
- CVE-2026-123294Krytyczne
W JetBrains Hub przed wersją 2026.2.52556 możliwe było podniesienie uprawnień poprzez zmianę danych uwierzytelniania e-mail w trakcie procesu weryfikacji.
- CVE-2026-123279Krytyczne
W JetBrains Datalore przed wersją 2026.4 możliwe było wykonanie kodu w obliczeniach notebooka przez współpracowników z uprawnieniami tylko do odczytu.
- CVE-2026-88800Krytyczne
Wtyczki WordPress MDJM Event Management i Mobile Events Manager do wersji 1.7.8.7 wykonują żądanie usunięcia roli przy każdym załadowaniu strony bez sprawdzenia uprawnień i bez nonce. Zabezpieczenie chroniące role z przypisanymi użytkownikami odczytuje inną część żądania niż ta, która wybiera usuwaną rolę, co pozwala nieuwierzytelnionym atakującym usunąć dowolną rolę WordPress, w tym administratora.
- CVE-2026-120844Krytyczne
Wtyczka miniOrange OAuth Single Sign On – SSO (OAuth Client) do wersji 7.1.3 zawiera podatność nieprawidłowego przypisania uprawnień, która umożliwia eskalację uprawnień.
- CVE-2026-119516Krytyczne
Wtyczka Radius Booking — Booking Calendar for Appointments & Services do wersji 1.0.20 zawiera podatność deserializacji niezaufanych danych, która umożliwia wstrzyknięcie obiektu.
- CVE-2026-118423Krytyczne
Wtyczka WordPress WP Libre Form w wersji 1.5.0.1 nie weryfikuje typu plików przesyłanych przez formularze, co pozwala nieuwierzytelnionym atakującym przesłać pliki PHP do lokalizacji dostępnej przez sieć i je wykonać, prowadząc do zdalnego wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
The Save as PDF Plugin by PDFCrowd plugin for WordPress is vulnerable to Arbitrary Function Invocation in all versions up to, and including, 4.6.1 via the `pdf_created_callback` shortcode attribute. The `eval_shortcode()` function copies any non-`button_`/non-`email_` shortcode attribute verbatim into a custom options array without sanitization, allowlist enforcement, or capability checks, and `create_button()` AES-encrypts that array — including the attacker-supplied callback value — and embeds the resulting blob in the rendered button HTML; when the blob is later POSTed to the unauthenticated `wp_ajax_nopriv_save_as_pdf_pdfcrowd` endpoint, `save_as_pdf_pdfcrowd()` decrypts it and invokes `$options['pdf_created_callback']` as a PHP callable at line 1722 with no `is_callable()` guard, no allowlist, and no capability check. This makes it possible for authenticated attackers, with Contributor-level access and above, to invoke arbitrary PHP functions or static class methods with plugin option data as the sole argument, enabling disclosure of the site's stored PDFCrowd API key and username or further server-side abuse. Note that the encryption boundary does not mitigate this vector because the server itself encrypts the attacker-chosen callback during shortcode rendering, supplying any authenticated Contributor with a cryptographically valid blob that any unauthenticated visitor can subsequently replay to trigger invocation.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS