CVE-2026-14859
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress WP Crowdfunding przed wersją 2.2.1 nie sprawdza uprawnień do tworzenia kampanii w jednej z akcji AJAX. Każdy zalogowany użytkownik, np. subskrybent, może tworzyć posty kampanii crowdfundingowych, mimo że nie ma do tego uprawnień.
Ocena ryzyka
Ryzyko nieautoryzowanego tworzenia kampanii, co może prowadzić do nadużyć, spamu i obciążenia zasobów. Użytkownicy o niskich uprawnieniach mogą publikować treści bez zgody.
Rekomendacja
Zaktualizuj wtyczkę WP Crowdfunding do wersji 2.2.1 lub nowszej. Sprawdź, czy akcje AJAX wymagają odpowiednich uprawnień.
Oryginalny opis (angielski, źródło NVD)
The WP Crowdfunding WordPress plugin before 2.2.1 does not check the campaign-submission capability in one of its AJAX actions, allowing any authenticated users such as Subscribers to create crowdfunding campaign posts despite not being granted that permission.