CVE-2026-16595
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka WP Directory Kit dla WordPressa przed wersją 1.5.5 nie przeprowadza kontroli autoryzacji ani nonce na jednej z uwierzytelnionych akcji AJAX, co pozwala każdemu uwierzytelnionemu użytkownikowi, takiemu jak Subskrybent, na ujawnienie listy użytkowników witryny oraz nieopublikowanych wpisów należących do innych użytkowników.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowane ujawnienie danych użytkowników i nieopublikowanych treści, co może naruszyć prywatność i poufność informacji.
Rekomendacja
Zaleca się aktualizację wtyczki WP Directory Kit do wersji 1.5.5 lub nowszej, która zawiera poprawki autoryzacji i nonce.
Oryginalny opis (angielski, źródło NVD)
The WP Directory Kit WordPress plugin before 1.5.5 does not perform authorization or nonce checks on one of its authenticated AJAX actions, allowing any authenticated user such as a Subscriber to disclose the site's user list and unpublished listings belonging to other users.