CVE-2026-97343
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Wtyczka Burst Statistics dla WordPressa we wszystkich wersjach do 3.7.1 włącznie jest podatna na niewłaściwe uwierzytelnianie prowadzące do trwałego przejęcia konta. Handler maybe_load_shared_dashboard() wydaje prawdziwe ciasteczko sesji WordPress dla konta burst_statistics_viewer każdemu gościowi z ważnym tokenem udostępniania, a wtyczka nie ogranicza aktualizacji hasła przez /wp-json/wp/v2/users/me ani nie filtruje uprawnienia edit_user, co pozwala nieuwierzytelnionemu atakującemu ustawić własne hasło i trwale przejąć to konto.
Ocena ryzyka
Nieuwierzytelniony atakujący z ważnym tokenem udostępniania może trwale przejąć konto burst_statistics_viewer, nawet po unieważnieniu tokenu, co może prowadzić do dalszego wykorzystania w ramach witryny.
Rekomendacja
Zaktualizuj wtyczkę Burst Statistics do wersji nowszej niż 3.7.1, która naprawia mechanizm uwierzytelniania i ogranicza możliwość zmiany hasła dla konta burst_statistics_viewer.
Powiązane podatności
- CVE-2026-123966Krytyczne
W urządzeniu Tenda AC19 w wersji 16.03.10.07 wykryto podatność w funkcji saveParentControlInfo w pliku /goform/saveParentControlInfo. Manipulacja argumentem deviceId powoduje przepełnienie bufora na stercie. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-120984Krytyczne
W komponencie zarządzania klientami serwera Keycloak wykryto błąd. Podczas tworzenia lub importu klienta z włączonymi usługami autoryzacji system nie czyści prawidłowo atrybutu sesji używanego podczas konfiguracji. Uwierzytelniony atakujący z uprawnieniami do zarządzania klientami może ominąć mechanizmy bezpieczeństwa i przesłać złośliwą politykę JavaScript, która jest wykonywana na serwerze.
- CVE-2026-122041Krytyczne
Wtyczka Checkout Field Editor for WooCommerce (Pro) dla WordPressa w wersjach do 3.8.0 włącznie jest podatna na nieautoryzowane usuwanie dowolnych załączników z powodu braku sprawdzenia uprawnień i własności w funkcji ajax_remove_uploaded(). Funkcja jest zarejestrowana dla wp_ajax i wp_ajax_nopriv i chroniona wyłącznie nonce 'file_handling_nonce', który jest ujawniany w publicznym kodzie strony checkoutu.
- CVE-2026-119075Krytyczne
Wtyczka Registration Form for WooCommerce dla WordPressa w wersjach do 1.1.4 włącznie jest podatna na eskalację uprawnień z powodu braku sprawdzenia listy dozwolonych ról w funkcji FormHandler::validate_checkout_fields(). Ścieżka rejestracji podczas checkoutu zapisuje surową wartość $_POST['user_roles'] bez walidacji, a add_user_data() wstrzykuje ją jako rolę nowego konta.
- CVE-2026-118066Krytyczne
Wtyczka LatePoint dla WordPressa w wersjach do 5.7.6 włącznie jest podatna na obejście uwierzytelniania i przejęcie konta. Funkcja OsModel::build_conditions_query() porównuje wartości klauzuli WHERE z literałami 'IS NULL' i 'IS NOT NULL' i konkatenuje dopasowanie bezpośrednio do SQL bez parametryzacji, co pozwala nieuwierzytelnionemu atakującemu wysłać params[password_reset_token]=IS NOT NULL do publicznej trasy AJAX customer_cabinet__change_password i zmienić hasło klienta o najniższym ID.
- CVE-2026-104014Krytyczne
Wtyczka Naimur Email OTP Verification for WooCommerce w wersjach do 2.1.0 włącznie jest podatna na obejście uwierzytelniania. Endpoint finalizacji resetu hasła autoryzuje reset wyłącznie na podstawie obecności wiersza w bazie oznaczającego e-mail jako 'VERIFIED', bez sprawdzania czasu, powiązania z sesją ani tokenu, a zaplanowane zadanie czyszczenia nie ma zarejestrowanego handlera, więc nigdy nie działa.
- CVE-2026-123961Krytyczne
W urządzeniu TOTOLINK CA300-PoE w wersji 6.2c.884 wykryto podatność w funkcji setWiFiBasicConfig w pliku /cgi-bin/cstecgi.cgi. Manipulacja argumentem KeyStr prowadzi do przepełnienia bufora. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny.
- CVE-2026-123960Krytyczne
W urządzeniu TOTOLINK CA300-PoE w wersji 6.2c.884 funkcja setWanConfig w pliku /cgi-bin/cstecgi.cgi nieprawidłowo obsługuje argumenty pppoeUser/priDns/secDns, co prowadzi do przepełnienia bufora. Podatność może być wykorzystana zdalnie, a publiczny exploit jest już dostępny.
- CVE-2026-123959Krytyczne
W urządzeniu TOTOLINK CA300-PoE w wersji 6.2c.884 funkcja setLanguageCfg w pliku /cgi-bin/cstecgi.cgi nieprawidłowo przetwarza argument langType, co prowadzi do przepełnienia bufora. Atak może być zainicjowany zdalnie, a exploit został publicznie udostępniony.
- CVE-2026-123958Krytyczne
W urządzeniu TOTOLINK CA300-PoE w wersji 6.2c.884 funkcja setLanConfig w pliku /cgi-bin/cstecgi.cgi nieprawidłowo obsługuje argumenty lanDns/lanSecDns/langType, co prowadzi do przepełnienia bufora. Podatność można wykorzystać zdalnie, a publiczny exploit jest już dostępny.
Oryginalny opis (angielski, źródło NVD)
The Burst Statistics – Simple WordPress Analytics (Google Analytics Alternative) plugin for WordPress is vulnerable to Improper Authentication leading to Account Persistence in all versions up to, and including, 3.7.1. This is due to the `maybe_load_shared_dashboard()` handler issuing a genuine WordPress session cookie for the `burst_statistics_viewer` account to any visitor presenting a valid share token via `wp_set_auth_cookie()`, while the plugin only blocks Application Passwords for the resulting `burst_viewer` role and does not restrict the core `/wp-json/wp/v2/users/me` password update endpoint or filter the `edit_user` capability for that account — leaving WordPress core's built-in rule that any authenticated user may update their own account fully in effect. This makes it possible for unauthenticated attackers to set an attacker-chosen password on the `burst_statistics_viewer` WordPress account, constituting a permanent takeover of that limited-privilege (`view_burst_statistics`) account that persists through share-token revocation, share-token expiration, and execution of the plugin's daily `cleanup_viewer_sessions()` routine. Exploitation requires that the attacker have obtained a valid `burst_share_token`, such as one that has been shared publicly or distributed to an untrusted party.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS