CVE-2026-16276
NiskieCVSS 2.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress 'Classified Listing' przed wersją 5.4.4 nie przeprowadza kontroli uprawnień w akcji AJAX, która zwraca zagregowane sumy przychodów sklepu, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na odczytywanie dziennych danych przychodów normalnie zarezerwowanych dla administratorów i menedżerów raportów.
Ocena ryzyka
Użytkownicy o niższych uprawnieniach mogą uzyskać dostęp do poufnych danych finansowych, co może prowadzić do wycieku informacji biznesowych.
Rekomendacja
Zaktualizuj wtyczkę do wersji 5.4.4 lub nowszej, która dodaje odpowiednie kontrole uprawnień.
Oryginalny opis (angielski, źródło NVD)
The Classified Listing WordPress plugin before 5.4.4 does not perform a capability check on an AJAX action that returns aggregated store revenue totals, allowing users with contributor-level access and above to read daily revenue figures normally restricted to administrators and report managers.