CVE-2026-7526: Ujawnienie wrażliwych informacji w wtyczce PDF Embedder dla WordPress

Co wiadomo

Wtyczka PDF Embedder dla WordPress do wersji 4.9.3 umożliwia uwierzytelnionym użytkownikom z uprawnieniami co najmniej współtwórcy wyciągnięcie danych konfiguracyjnych poprzez lukę w funkcji enqueue_block_assets. W przypadku zainstalowanego dodatku premium może dojść do ujawnienia klucza licencyjnego, natomiast w wersji Lite ujawniane są jedynie mniej wrażliwe ustawienia widoku.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy mogą pozyskać dane konfiguracyjne wtyczki, co może prowadzić do dalszych nadużyć lub wycieku informacji o konfiguracji systemu. Ujawnienie klucza licencyjnego w wersji premium może skutkować nieautoryzowanym użyciem oprogramowania. Właściciele stron powinni ocenić ryzyko i podjąć działania zabezpieczające, zwłaszcza jeśli korzystają z wersji premium.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki PDF Embedder i jej dodatków premium u dostawcy oraz ich instalację. W międzyczasie ograniczyć dostęp użytkowników do poziomu współtwórcy i wyżej, monitorować logi pod kątem nietypowej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki, jeśli to możliwe. Przeprowadzić przegląd konfiguracji i kluczy licencyjnych pod kątem potencjalnych wycieków.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference