CVE-2026-17517

ŚrednieCVSS 5.3

Opublikowano: 04/09/2026(UTC)Zaktualizowano: 08/09/2026(UTC)Przetłumaczono: 04/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

Wtyczka Content Views dla WordPressa przed wersją 4.5.1.2 nie sprawdza, czy użytkownik żądający widoku ma uprawnienia do odczytu postów, które on zwraca. Umożliwia to nieuwierzytelnionym atakującym uzyskanie tytułów i treści niepublicznych postów, takich jak szkice, oczekujące, prywatne i zaplanowane, jeśli widok został skonfigurowany tak, aby je zawierał.

Ocena ryzyka

Organizacja narażona jest na wyciek poufnych treści, które nie powinny być publicznie dostępne, co może naruszyć integralność procesów redakcyjnych i prywatność danych.

Rekomendacja

Zaleca się natychmiastową aktualizację wtyczki Content Views do wersji 4.5.1.2 lub nowszej, która zawiera poprawkę zabezpieczającą.

Inne podatności w Content Views WordPress plugin

CVE-2026-15361Wysokie
Wtyczka Content Views dla WordPressa przed wersją 4.5 nie przeprowadza kontroli uprawnień w jednej z akcji AJAX i nie filtruje odpowiednio danych dostarczonych przez atakującego przed użyciem ich w zapytaniu SQL, co pozwala każdemu zalogowanemu użytkownikowi, w tym subskrybentom, na przeprowadzenie ataków SQL injection.

Oryginalny opis (angielski, źródło NVD)

The Content Views WordPress plugin before 4.5.1.2 does not check whether the user requesting a view is allowed to read the posts it returns, allowing unauthenticated attackers to obtain the title and content of non-public posts, such as draft, pending, private and scheduled posts, when a view has been configured to include them.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS