CVE-2026-86591
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.8
- EPSS
- 0.4%
- CWE
- CWE-862
- KEV Durumu
- Hayır
Yayım tarihi: 19 Eylül 2026
Botiga Pro WordPress eklentisinin 1.6.5 sürümünden önceki sürümleri, REST yollarından birinin yetkilendirme kontrollerini gerçekleştirmiyor, bu da kimlik doğrulamaları yapılmamış kullanıcıların keyfi WordPress seçeneklerini keyfi değerlerle güncellemelerine olanak tanıyor ve bu durum yetki yükselmesine ve sitenin tamamen ele geçirilmesine neden olabilir. Aynı yol, kimlik doğrulamaları yapılmamış kullanıcıların keyfi web betikleri depolamasına ve bu betiklerin sitenin ön yüzündeki her sayfada yürütülmesine de olanak tanır, ayrıca keyfi gönderileri çöp kutusuna taşıyabilir.
Orijinal açıklama (İngilizce)
The Botiga Pro WordPress plugin before 1.6.5 does not perform any authorisation checks on one of its REST routes, allowing unauthenticated users to update arbitrary WordPress options with arbitrary values, which could lead to privilege escalation and a full site takeover. The same route also allows unauthenticated users to store arbitrary web scripts which are then executed on every page of the site's front end, as well as to move arbitrary posts to the trash.
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.