CVE-2026-16590
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka WP Directory Kit dla WordPressa przed wersją 1.5.5 nie przeprowadza kontroli autoryzacji ani nonce na jednej z uwierzytelnionych akcji AJAX, co pozwala każdemu uwierzytelnionemu użytkownikowi, takiemu jak Subskrybent, na pobieranie zapisanych wiadomości kontaktowych i powiązanych danych użytkowników należących do innych osób.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do danych kontaktowych i danych użytkowników, co może naruszyć prywatność i poufność informacji.
Rekomendacja
Zaleca się aktualizację wtyczki WP Directory Kit do wersji 1.5.5 lub nowszej, która zawiera poprawki autoryzacji i nonce.
Oryginalny opis (angielski, źródło NVD)
The WP Directory Kit WordPress plugin before 1.5.5 does not perform authorization or nonce checks on one of its authenticated AJAX actions, allowing any authenticated user such as a Subscriber to retrieve stored contact messages and associated user data belonging to other users.