Analityczne wykorzystywanie plików cookies
CVE-2026-4977: Nieprawidłowa kontrola dostępu w wtyczce UsersWP dla WordPress
Luka CVE-2026-4977 w wtyczce UsersWP pozwala użytkownikom subskrybenta modyfikować chronione pola profilu. Zalecane szybkie aktualizacje i monitorowanie.
- CVSS
- 4.3 MEDIUM
- EPSS
- 21.88%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka UsersWP do WordPressa (wersje do 1.2.58 włącznie) ma lukę w kontroli dostępu, która pozwala uwierzytelnionym użytkownikom na poziomie subskrybenta i wyższym na modyfikację chronionych pól profilu użytkownika. Luka wynika z braku odpowiedniej walidacji parametrów w funkcji obsługującej AJAX upload_file_remove().
Wpływ biznesowy
Atakujący z dostępem subskrybenta mogą zmieniać lub resetować pola użytkownika oznaczone jako przeznaczone tylko dla administratorów, co może prowadzić do nieautoryzowanego dostępu do danych lub manipulacji profilami. Może to osłabić bezpieczeństwo systemu i naruszyć integralność danych użytkowników.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki UsersWP i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do funkcji wtyczki, monitorować logi pod kątem podejrzanych działań oraz zweryfikować uprawnienia użytkowników. Priorytetowo traktuj aktualizacje i audyt konfiguracji wtyczki.