CVE-2026-12906
NiskieCVSS 2.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka RTMKit dla WordPressa przed wersją 2.0.9 nie sprawdza uprawnień w jednej z akcji AJAX i bezpośrednio używa identyfikatora posta podanego w żądaniu, co pozwala użytkownikom z rolą co najmniej Współautora na odczyt tytułów prywatnych, szkiców, oczekujących, zaplanowanych i usuniętych postów innych użytkowników.
Ocena ryzyka
Ryzyko polega na wycieku poufnych informacji – użytkownicy o niskich uprawnieniach mogą poznać tytuły nieopublikowanych lub prywatnych treści, co narusza poufność i może prowadzić do eskalacji uprawnień.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki RTMKit do wersji 2.0.9 lub nowszej, która zawiera niezbędne sprawdzanie uprawnień.
Oryginalny opis (angielski, źródło NVD)
The RTMKit WordPress plugin before 2.0.9 does not perform a capability check in one of its AJAX actions and resolves a request-supplied post identifier directly, allowing users with at least the Contributor role to read the titles of other users' private, draft, pending, scheduled and trashed posts.