CVE-2026-118267

Wtyczka WP Data Access – App Builder for Tables, Forms, Dashboards, Charts & Maps dla WordPress jest podatna na nieprawidłową autoryzację prowadzącą do eskalacji uprawnień we wszystkich wersjach aż do 5.5.89 włącznie. Dzieje się tak z powodu przekazywania przez punkty końcowe wtyczki zapisu („wpda/app/update”, „wpda/app/delete”, „wpda/app/insert”) dostarczone przez atakującego parametry `key` i `val` bezpośrednio do `$wpdadb->update`, `$wpdadb->delete` i `$wpdadb->insert` bez wymuszania ograniczeń filtra wierszy kontenera („defaultWhere”) lub listy dozwolonych poszczególnych kolumn („isSelected”), które są prawidłowo stosowane w punktach końcowych odczytu. Dzięki temu uwierzytelnieni atakujący, z dostępem na poziomie subskrybenta i wyższym, mogą zapisywać dowolne wiersze i kolumny poza skonfigurowanymi ograniczeniami — w tym nadpisywać pole „user_pass” konta administratora WordPress w `wp_users` — a następnie uwierzytelniać się jako administrator, osiągając pełne przejęcie witryny. Eksploatacja wymaga, aby administrator opublikował aplikację danych, która umożliwia zapisywanie transakcji (aktualizowanie, usuwanie lub wstawianie) dla użytkowników na poziomie subskrybenta lub użytkowników anonimowych, co jest wyraźnie reklamowanym przypadkiem użycia wtyczki. Wykorzystywanie przez nieuwierzytelnionych napastników wymaga opublikowania przez administratora aplikacji danych, której rest_api.authorization jest „anonimowa” i której kontener ma włączoną transakcję.update (lub usuwanie/wstawianie). W przypadku instalacji domyślnej, która nie jest skonfigurowana, luka wymaga atakujących z dostępem na poziomie subskrybenta lub wyższym.