CVE-2026-18943
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka WPC Admin Columns dla WordPressa przed wersją 2.3.4 nie zawiera kontroli autoryzacji w jednej z akcji AJAX, co pozwala użytkownikom z rolą co najmniej subskrybenta na odczyt dowolnych metadanych użytkowników, wpisów i terminów, w tym danych należących do administratorów.
Ocena ryzyka
Osoba atakująca może uzyskać dostęp do wrażliwych danych, takich jak metadane administratorów, co może prowadzić do eskalacji uprawnień lub naruszenia prywatności.
Rekomendacja
Zaktualizuj wtyczkę WPC Admin Columns do wersji 2.3.4 lub nowszej. Ogranicz dostęp do akcji AJAX tylko dla uprawnionych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The WPC Admin Columns WordPress plugin before 2.3.4 does not have authorisation checks in one of its AJAX actions, allowing users with a role as low as subscriber to read arbitrary user, post and term metadata, including data belonging to administrators.