CVE-2026-17580
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Wtyczka Advanced Views dla WordPressa do wersji 3.9.1 ujawnia wrażliwe treści edytora tworzone przez administratorów poprzez rejestrację REST API. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyższym mogą wyodrębnić znaczniki szablonów, kod CSS, JavaScript oraz zmienne kontrolera PHP dla dowolnego układu lub posta.
Ocena ryzyka
Ujawnienie kodu źródłowego i zmiennych może umożliwić atakującym zrozumienie logiki aplikacji, znalezienie dalszych podatności lub kradzież wrażliwych danych.
Rekomendacja
Zaleca się aktualizację wtyczki Advanced Views do najnowszej wersji oraz ograniczenie dostępu do REST API dla nieuprawnionych użytkowników.
Inne podatności w Advanced Views
Oryginalny opis (angielski, źródło NVD)
The Advanced Views – Display Custom Fields (ACF, Pods, MetaBox), Posts, CPT and Woo Products anywhere in Gutenberg, Elementor, Divi, Beaver… plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 3.9.1 via the register_rest_routes. This makes it possible for authenticated attackers, with subscriber-level access and above, to extract sensitive admin-authored editor content — including template markup, CSS code, JavaScript code, and PHP controller variables — for any Layout or Post Selection post on the site.