CVE-2026-14229

ŚrednieCVSS 5.3

Opublikowano: 15/08/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 15/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

Wtyczka ECS dla WordPressa przed wersją 4.3.8 nie sprawdza statusu posta ani żadnych uprawnień podczas renderowania dokumentu Elementor żądanego przez jedną z jej akcji AJAX. Pozwala to nieuwierzytelnionym użytkownikom na pobranie wyrenderowanej treści nieopublikowanych (prywatnych, szkiców, oczekujących) dokumentów poprzez podanie ich identyfikatora.

Ocena ryzyka

Ryzyko ujawnienia poufnych treści, które nie zostały jeszcze opublikowane, co może prowadzić do wycieku informacji lub naruszenia procesu publikacji.

Rekomendacja

Zaleca się aktualizację wtyczki ECS do wersji 4.3.8 lub nowszej oraz weryfikację, czy nieopublikowane treści nie zostały już ujawnione.

Inne podatności w ECS WordPress plugin

CVE-2026-14230Średnie
Wtyczka ECS dla WordPressa przed wersją 4.3.8 nie przeprowadza kontroli uprawnień ani własności obiektów w swoich procedurach AJAX Dynamic Repeater (chronionych jedynie nonce niezależnym od uprawnień, który każdy użytkownik z uprawnieniami edit_posts może uzyskać z edytora Elementor). W rezultacie użytkownik z rolą Contributor może zapisać wiązanie źródła danych w dowolnym poście, w tym na stronach utworzonych przez administratora, a wartości kontrolowane przez atakującego są renderowane w repeaterze widżetu bez sanityzacji, wykonując JavaScript w sesji każdego odwiedzającego lub administratora, który zobaczy stronę.

Oryginalny opis (angielski, źródło NVD)

The ECS WordPress plugin before 4.3.8 does not check the post status or any capability when rendering an Elementor document requested through one of its AJAX actions, allowing unauthenticated users to retrieve the rendered content of unpublished (private, draft, pending) documents by supplying their identifier.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS