CVE-2026-18807
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka ECS WordPress przed wersją 4.3.8 nie sprawdza uprawnień ani własności w swoich dynamicznych akcjach repeatera, polegając tylko na nonce dostępnym dla każdego użytkownika, który może otworzyć builder stron. Umożliwia to użytkownikom z kontem na poziomie współautora lub wyższym odczytywanie, modyfikowanie i usuwanie konfiguracji powiązań postów, których nie są właścicielami, oraz zmianę globalnych ustawień wtyczki.
Ocena ryzyka
Podatność pozwala na nieautoryzowany dostęp do konfiguracji postów i ustawień wtyczki, co może prowadzić do naruszenia integralności danych i eskalacji uprawnień w WordPressie.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki ECS WordPress do wersji 4.3.8 lub nowszej, która zawiera poprawki kontroli uprawnień.
Inne podatności w ECS WordPress plugin
Zobacz wszystkie- CVE-2026-14230Średnie
Wtyczka ECS dla WordPressa przed wersją 4.3.8 nie przeprowadza kontroli uprawnień ani własności obiektów w swoich procedurach AJAX Dynamic Repeater (chronionych jedynie nonce niezależnym od uprawnień, który każdy użytkownik z uprawnieniami edit_posts może uzyskać z edytora Elementor). W rezultacie użytkownik z rolą Contributor może zapisać wiązanie źródła danych w dowolnym poście, w tym na stronach utworzonych przez administratora, a wartości kontrolowane przez atakującego są renderowane w repeaterze widżetu bez sanityzacji, wykonując JavaScript w sesji każdego odwiedzającego lub administratora, który zobaczy stronę.
- CVE-2026-14229Średnie
Wtyczka ECS dla WordPressa przed wersją 4.3.8 nie sprawdza statusu posta ani żadnych uprawnień podczas renderowania dokumentu Elementor żądanego przez jedną z jej akcji AJAX. Pozwala to nieuwierzytelnionym użytkownikom na pobranie wyrenderowanej treści nieopublikowanych (prywatnych, szkiców, oczekujących) dokumentów poprzez podanie ich identyfikatora.
Oryginalny opis (angielski, źródło NVD)
The ECS WordPress plugin before 4.3.8 does not have capability or ownership checks on its dynamic repeater actions, relying only on a nonce available to any user who can open the page builder, allowing users with a contributor-level account or above to read, alter and delete the binding configuration of posts they do not own and to change the ECS WordPress plugin before 4.3.8's site-wide presets.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS