CVE-2026-3475: Luka wtyczki Instant Popup Builder dla WordPress umożliwiająca nieautoryzowane wykonanie shortcode

Co wiadomo

Wtyczka Instant Popup Builder dla WordPress do wersji 1.1.7 włącznie posiada lukę umożliwiającą nieautoryzowane wykonanie dowolnego shortcode. Problem wynika z niewłaściwej obsługi parametrów GET w funkcji handle_email_verification_page(), co pozwala na wstrzyknięcie i wykonanie złośliwych shortcode'ów bez uwierzytelnienia.

Wpływ biznesowy

Atakujący bez uwierzytelnienia mogą wykorzystać lukę do wykonania dowolnego shortcode, co może prowadzić do nieautoryzowanych działań na stronie, potencjalnie wpływając na integralność i bezpieczeństwo witryny. Może to skutkować naruszeniem danych lub eskalacją uprawnień w środowisku WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Instant Popup Builder i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do funkcji wtyczki, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo traktuj aktualizacje i audyt bezpieczeństwa środowiska WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference