CVE-2026-19613
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Wtyczka ECS dla WordPressa przed wersją 4.3.10 nie sprawdza własności ani statusu wpisu, gdy jeden z jej dynamicznych źródeł danych repeatera odczytuje wartości pól niestandardowych z identyfikatora wpisu podanego przez użytkownika, co pozwala użytkownikom z rolą przynajmniej współautora (contributor) na odczyt wartości pól niestandardowych i metadanych wpisów, których nie są właścicielami, w tym prywatnych i szkiców.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do poufnych danych przechowywanych w polach niestandardowych i metadanych wpisów, co może naruszyć prywatność i integralność treści.
Rekomendacja
Zaleca się aktualizację wtyczki do wersji 4.3.10 lub nowszej oraz ograniczenie dostępu do dynamicznych źródeł danych dla użytkowników o niższych rolach.
Oryginalny opis (angielski, źródło NVD)
The ECS WordPress plugin before 4.3.10 does not perform ownership or post-status checks when one of its dynamic repeater data sources reads custom field values from a user-supplied post identifier, allowing users with a contributor-level account or above to read custom field values and post metadata from posts they do not own, including private and draft ones.