Analityczne wykorzystywanie plików cookies
CVE-2026-1881: Luka Insecure Direct Object Reference w wtyczce Broadstreet dla WordPress
Luka CVE-2026-1881 w wtyczce Broadstreet WordPress pozwala uwierzytelnionym użytkownikom ujawnić prywatne metadane postów. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 4.3 MEDIUM
- EPSS
- 12.52%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Broadstreet dla WordPress do wersji 1.52.2 włącznie posiada lukę Insecure Direct Object Reference w akcji AJAX get_sponsored_meta, wynikającą z braku walidacji klucza kontrolowanego przez użytkownika. Umożliwia to uwierzytelnionym użytkownikom z poziomem Subskrybenta lub wyższym dostęp do prywatnych metadanych postów.
Wpływ biznesowy
Ta luka pozwala na nieautoryzowane ujawnienie prywatnych metadanych postów, co może prowadzić do wycieku poufnych informacji i naruszenia prywatności. Operatorzy stron opartych na WordPress z zainstalowaną wtyczką Broadstreet powinni traktować tę podatność jako istotną, zwłaszcza jeśli korzystają z ról użytkowników o niskich uprawnieniach, które mogą zostać wykorzystane do eskalacji dostępu.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Broadstreet i jej instalację, jeśli jest dostępna. W przypadku braku łatki, ogranicz dostęp do funkcji AJAX get_sponsored_meta oraz monitoruj logi pod kątem podejrzanej aktywności. Warto również przejrzeć uprawnienia użytkowników i ograniczyć dostęp do ról z możliwością wykorzystania tej luki.