CVE-2026-1881
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka Broadstreet dla WordPressa we wszystkich wersjach do 1.52.2 włącznie jest podatna na Insecure Direct Object Reference (IDOR) przez akcję AJAX get_sponsored_meta. Brak walidacji klucza kontrolowanego przez użytkownika umożliwia uwierzytelnionym atakującym (od poziomu Subskrybenta wzwyż) ujawnienie dowolnych prywatnych metadanych postów.
Ocena ryzyka
Organizacja narażona jest na wyciek prywatnych metadanych postów, co może naruszyć poufność treści i danych użytkowników.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Broadstreet do najnowszej wersji oraz wdrożenie poprawek bezpieczeństwa.
Oryginalny opis (angielski, źródło NVD)
The Broadstreet plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 1.52.2 via the get_sponsored_meta AJAX action due to missing validation on a user controlled key. This makes it possible for authenticated attackers, with Subscriber-level access and above, to disclose any private post metadata.