CVE-2026-10780: Luka wtyczki Static Block dla WordPress umożliwiająca nieautoryzowany dostęp do treści

Co wiadomo

Wtyczka Static Block dla WordPress w wersjach do 2.2 włącznie posiada lukę typu Insecure Direct Object Reference. Umożliwia ona uwierzytelnionym użytkownikom z uprawnieniami co najmniej współtwórcy odczyt prywatnych i roboczych treści postów poprzez shortcode [static_block_content id="X"] bez odpowiedniej weryfikacji dostępu.

Wpływ biznesowy

Atakujący z poziomem dostępu współtwórcy lub wyższym mogą uzyskać dostęp do prywatnych i roboczych treści, które normalnie powinny być niedostępne. Może to prowadzić do wycieku poufnych informacji, w tym treści zarządzanych przez administratorów. Wpływa to na poufność danych i może naruszać polityki bezpieczeństwa organizacji.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Static Block i ich zastosowanie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum oraz monitorować logi pod kątem podejrzanych działań związanych z shortcode [static_block_content]. Warto również rozważyć tymczasowe wyłączenie wtyczki, jeśli jest to możliwe.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference