CVE-2026-14229
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka ECS dla WordPressa przed wersją 4.3.8 nie sprawdza statusu posta ani żadnych uprawnień podczas renderowania dokumentu Elementor żądanego przez jedną z jej akcji AJAX. Pozwala to nieuwierzytelnionym użytkownikom na pobranie wyrenderowanej treści nieopublikowanych (prywatnych, szkiców, oczekujących) dokumentów poprzez podanie ich identyfikatora.
Ocena ryzyka
Ryzyko ujawnienia poufnych treści, które nie zostały jeszcze opublikowane, co może prowadzić do wycieku informacji lub naruszenia procesu publikacji.
Rekomendacja
Zaleca się aktualizację wtyczki ECS do wersji 4.3.8 lub nowszej oraz weryfikację, czy nieopublikowane treści nie zostały już ujawnione.
Oryginalny opis (angielski, źródło NVD)
The ECS WordPress plugin before 4.3.8 does not check the post status or any capability when rendering an Elementor document requested through one of its AJAX actions, allowing unauthenticated users to retrieve the rendered content of unpublished (private, draft, pending) documents by supplying their identifier.