WordPress-Plugin 爱采集数据采集和发布插件: hartkodiertes Secret in unauthentifiziertem Endpunkt

Beschreibung

Das WordPress-Plugin 爱采集数据采集和发布插件 verlangt bis Version 1.0.0 für einen seiner nicht authentifizierten Endpunkte kein installationsspezifisches Secret, sondern verwendet stattdessen einen hartkodierten Standardwert, und validiert zudem die übergebenen URLs beziehungsweise Zieladressen nicht. CVSS-Basiswert: 9.3 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Changelog

1. 2026-08-30 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in WordPress (Patchstack)

• WordPress Core Remote File Inclusion Vulnerability KEV CVE-2026-87902
• WordPress Core SQL Injection Vulnerability KEV CVE-2026-60137
• WordPress – Route Confusion im REST-API-Batch-Endpoint KEV CVE-2026-63030
• Trend Micro Apex One (On-Premise) – Directory Traversal KEV CVE-2026-34926
• WebPros cPanel & WHM / WP Squared – Fehlende Authentifizierung für kritische Funktion KEV CVE-2026-41940
• Omnissa Workspace ONE Server-Side Request Forgery KEV CVE-2021-22054