CVE-2026-96903

ŚrednieCVSS 4.3

Opublikowano: 20/10/2026(UTC)Zaktualizowano: 20/10/2026(UTC)Przetłumaczono: 20/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.14%

Percentyl 3 - wyżej niż 3% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress Easy Property Listings w wersjach przed 3.5.27 nie przeprowadza kontroli autoryzacji w kilku akcjach AJAX odczytu zarządzania kontaktami. Umożliwia to każdemu uwierzytelnionemu użytkownikowi z rolą tak niską jak subskrybent odczytanie rekordów kontaktów i leadów CRM innych użytkowników, w tym prywatnych notatek aktywności.

Ocena ryzyka

Może dojść do nieautoryzowanego dostępu do poufnych danych CRM, co narusza prywatność i może prowadzić do wycieku informacji biznesowych.

Rekomendacja

Zaleca się aktualizację wtyczki do wersji 3.5.27 lub nowszej.

Inne podatności w Easy Property Listings WordPress plugin

CVE-2026-96902Średnie
Wtyczka WordPress Easy Property Listings w wersjach przed 3.5.28 nie ogranicza, które pola oferty są dodawane do publicznego wyjścia REST API. Umożliwia to nieuwierzytelnionym użytkownikom odczytanie szczegółów, które witryna zdecydowała się ukryć w opublikowanych ofertach, takich jak cena wywoławcza, cena sprzedaży, adres ulicy i dokładne współrzędne mapy.

Oryginalny opis (angielski, źródło NVD)

The Easy Property Listings WordPress plugin before 3.5.27 does not perform authorisation checks on several of its contact-management read AJAX actions, allowing any authenticated user with a role as low as subscriber to read other users' CRM contact and lead records, including their private activity notes.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS