Streamit: zdalne wykonanie kodu bez uwierzytelnienia (CVE-2026-13423)
Opublikowano podatność CVE-2026-13423 (CVSS 9.8) w motywie Streamit dla WordPressa. Jedna z tras AJAX nie sprawdza autoryzacji ani nonce i wywołuje funkcję PHP z argumentami podanymi przez atakującego.
Sprawdzane w Shield: nie
Kogo dotyczy
Dotyczy witryn z motywem Streamit w wersji starszej niż 4.5.2. Nieuwierzytelniony atakujący może na przykład utworzyć konto administratora i uzyskać zdalne wykonanie kodu (RCE).
Jak sprawdzić u siebie
W panelu WordPress otwórz Wygląd → Motywy i sprawdź wersję Streamit. Jeśli jest niższa niż 4.5.2, witryna jest podatna.
Jak naprawić
Poprawka jest dostępna: zaktualizuj motyw Streamit do wersji 4.5.2 lub nowszej. Po aktualizacji sprawdź listę administratorów pod kątem nieznanych kont.
Co sprawdza Shield nie jest sprawdzane
Sprawdzane w Shield: nie. Z zewnątrz zwykle tego nie widać albo kontroli jeszcze nie dodano; zbieramy takie przypadki i dodajemy kontrole partiami.
Warto wiedzieć
Informacja o wykorzystaniu podatności w atakach nie została jeszcze ujawniona. Źródło: NVD.
