CVE-2026-18807

ŚrednieCVSS 4.3

Opublikowano: 15/08/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 16/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 16 - wyżej niż 16% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress ECS w wersjach przed 4.3.13 nie posiada sprawdzeń uprawnień ani własności w swoich dynamicznych akcjach repeatera, opierając się wyłącznie na nonce dostępnym dla każdego użytkownika, który może otworzyć kreator stron. Pozwala to użytkownikom z kontem o poziomie współpracownika lub wyższym na odczyt, zmianę i usunięcie konfiguracji powiązań postów, których nie są właścicielami, oraz na zmianę ogólnostronowych ustawień wtyczki ECS.

Ocena ryzyka

Użytkownik z niskimi uprawnieniami (współpracownik) może modyfikować lub usuwać konfiguracje powiązań postów należących do innych oraz zmieniać ogólnostronowe ustawienia wtyczki, co może prowadzić do uszkodzenia treści i konfiguracji witryny.

Rekomendacja

Zaktualizuj wtyczkę ECS do wersji 4.3.13 lub nowszej.

Inne podatności w ECS

CVE-2026-19613Średnie
Wtyczka ECS dla WordPressa przed wersją 4.3.10 nie sprawdza własności ani statusu wpisu, gdy jeden z jej dynamicznych źródeł danych repeatera odczytuje wartości pól niestandardowych z identyfikatora wpisu podanego przez użytkownika, co pozwala użytkownikom z rolą przynajmniej współautora (contributor) na odczyt wartości pól niestandardowych i metadanych wpisów, których nie są właścicielami, w tym prywatnych i szkiców.

Oryginalny opis (angielski, źródło NVD)

The ECS WordPress plugin before 4.3.13 does not have capability or ownership checks on its dynamic repeater actions, relying only on a nonce available to any user who can open the page builder, allowing users with a contributor-level account or above to read, alter and delete the binding configuration of posts they do not own and to change the ECS WordPress plugin before 4.3.13's site-wide presets.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS