CVE-2026-14230
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wtyczka ECS dla WordPressa przed wersją 4.3.8 nie przeprowadza kontroli uprawnień ani własności obiektów w swoich procedurach AJAX Dynamic Repeater (chronionych jedynie nonce niezależnym od uprawnień, który każdy użytkownik z uprawnieniami edit_posts może uzyskać z edytora Elementor). W rezultacie użytkownik z rolą Contributor może zapisać wiązanie źródła danych w dowolnym poście, w tym na stronach utworzonych przez administratora, a wartości kontrolowane przez atakującego są renderowane w repeaterze widżetu bez sanityzacji, wykonując JavaScript w sesji każdego odwiedzającego lub administratora, który zobaczy stronę.
Ocena ryzyka
Ryzyko wykonania złośliwego skryptu w przeglądarce administratorów i odwiedzających, co może prowadzić do kradzieży sesji, przejęcia konta lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki ECS do wersji 4.3.8 lub nowszej oraz ograniczenie uprawnień użytkowników z rolą Contributor, jeśli to możliwe.
Inne podatności w ECS WordPress plugin
Zobacz wszystkie- CVE-2026-18807Średnie
Wtyczka ECS WordPress przed wersją 4.3.8 nie sprawdza uprawnień ani własności w swoich dynamicznych akcjach repeatera, polegając tylko na nonce dostępnym dla każdego użytkownika, który może otworzyć builder stron. Umożliwia to użytkownikom z kontem na poziomie współautora lub wyższym odczytywanie, modyfikowanie i usuwanie konfiguracji powiązań postów, których nie są właścicielami, oraz zmianę globalnych ustawień wtyczki.
- CVE-2026-14229Średnie
Wtyczka ECS dla WordPressa przed wersją 4.3.8 nie sprawdza statusu posta ani żadnych uprawnień podczas renderowania dokumentu Elementor żądanego przez jedną z jej akcji AJAX. Pozwala to nieuwierzytelnionym użytkownikom na pobranie wyrenderowanej treści nieopublikowanych (prywatnych, szkiców, oczekujących) dokumentów poprzez podanie ich identyfikatora.
Oryginalny opis (angielski, źródło NVD)
The ECS WordPress plugin before 4.3.8 does not perform capability or object-ownership checks on its Dynamic Repeater AJAX handlers (gated only by a capability-agnostic nonce that any edit_posts user obtains from the Elementor editor), so a Contributor can write a data-source binding into any post — including admin-authored pages — whose attacker-controlled values are rendered into a widget's repeater output without sanitization, executing JavaScript in the session of any visitor or administrator who views the page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS