CVE-2026-7638: Luka Insecure Direct Object Reference w wtyczce App Builder dla WordPress

Co wiadomo

Wtyczka App Builder – Create Native Android & iOS Apps On The Flight dla WordPress do wersji 5.6.0 posiada lukę Insecure Direct Object Reference. Brak weryfikacji uprawnień w funkcji upload_avatar() pozwala uwierzytelnionym użytkownikom na poziomie Subskrybenta i wyżej na zmianę awatara dowolnego użytkownika, w tym administratorów.

Wpływ biznesowy

Luka umożliwia atakującym z podstawowym dostępem do panelu WordPressa modyfikację profilu innych użytkowników, co może prowadzić do dezinformacji lub obniżenia zaufania do witryny. Choć nie umożliwia pełnego przejęcia konta, narusza integralność danych użytkowników i może być wykorzystana do dalszych ataków socjotechnicznych.

Rekomendowane działania administratora

Administratorzy powinni jak najszybciej sprawdzić dostępność aktualizacji wtyczki App Builder i zastosować je, jeśli są dostępne. W międzyczasie zaleca się ograniczenie dostępu do funkcji upload_avatar() oraz monitorowanie logów pod kątem nietypowych zmian awatarów użytkowników. Warto również przeprowadzić przegląd uprawnień użytkowników i ograniczyć dostęp do minimum niezbędnego.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference