CVE-2026-14229
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka ECS dla WordPressa przed wersją 4.3.8 nie sprawdza statusu posta ani żadnych uprawnień podczas renderowania dokumentu Elementor żądanego przez jedną z jej akcji AJAX. Pozwala to nieuwierzytelnionym użytkownikom na pobranie wyrenderowanej treści nieopublikowanych (prywatnych, szkiców, oczekujących) dokumentów poprzez podanie ich identyfikatora.
Ocena ryzyka
Ryzyko ujawnienia poufnych treści, które nie zostały jeszcze opublikowane, co może prowadzić do wycieku informacji lub naruszenia procesu publikacji.
Rekomendacja
Zaleca się aktualizację wtyczki ECS do wersji 4.3.8 lub nowszej oraz weryfikację, czy nieopublikowane treści nie zostały już ujawnione.
Inne podatności w ECS WordPress plugin
Zobacz wszystkie- CVE-2026-18807Średnie
Wtyczka ECS WordPress przed wersją 4.3.8 nie sprawdza uprawnień ani własności w swoich dynamicznych akcjach repeatera, polegając tylko na nonce dostępnym dla każdego użytkownika, który może otworzyć builder stron. Umożliwia to użytkownikom z kontem na poziomie współautora lub wyższym odczytywanie, modyfikowanie i usuwanie konfiguracji powiązań postów, których nie są właścicielami, oraz zmianę globalnych ustawień wtyczki.
- CVE-2026-14230Średnie
Wtyczka ECS dla WordPressa przed wersją 4.3.8 nie przeprowadza kontroli uprawnień ani własności obiektów w swoich procedurach AJAX Dynamic Repeater (chronionych jedynie nonce niezależnym od uprawnień, który każdy użytkownik z uprawnieniami edit_posts może uzyskać z edytora Elementor). W rezultacie użytkownik z rolą Contributor może zapisać wiązanie źródła danych w dowolnym poście, w tym na stronach utworzonych przez administratora, a wartości kontrolowane przez atakującego są renderowane w repeaterze widżetu bez sanityzacji, wykonując JavaScript w sesji każdego odwiedzającego lub administratora, który zobaczy stronę.
Oryginalny opis (angielski, źródło NVD)
The ECS WordPress plugin before 4.3.8 does not check the post status or any capability when rendering an Elementor document requested through one of its AJAX actions, allowing unauthenticated users to retrieve the rendered content of unpublished (private, draft, pending) documents by supplying their identifier.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS