CVE-2026-16992
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wtyczka Create WordPress przed wersją 2.5.4 nie przeprowadza kontroli autoryzacji przed zwróceniem treści przez jedną z tras API REST, a trasa ta dodatkowo publikuje żądaną treść jako efekt uboczny, co pozwala nieuwierzytelnionym atakującym na odczyt nieopublikowanych treści i uczynienie ich publicznie dostępnymi.
Ocena ryzyka
Ryzyko polega na ujawnieniu nieopublikowanych treści, co może naruszyć poufność i integralność danych, a także zaszkodzić reputacji organizacji.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Create do wersji 2.5.4 lub nowszej, która zawiera poprawkę zabezpieczającą.
Oryginalny opis (angielski, źródło NVD)
The Create WordPress plugin before 2.5.4 does not perform an authorization check before returning content over one of its REST API routes, and that route additionally publishes the requested content as a side effect, allowing unauthenticated attackers to read unpublished content and to make it publicly available.