CVE-2026-14356 in FleekDash V2 Plugin
Zusammenfassung
von VulDB • 30.07.2026
Das FleekDash V2-Plugin für WordPress ist in allen Versionen bis einschließlich 2.6.2.2 anfällig für eine Umgehung der Autorisierung (Authorization Bypass). Dies liegt daran, dass das Plugin nicht ordnungsgemäß überprüft, ob ein Benutzer berechtigt ist, eine Aktion durchzuführen. Dadurch können authentifizierte Angreifer mit Zugriffsrechten auf Subscriber-Ebene und höher die E-Mail-Adresse und das Passwort jedes WordPress-Benutzers überschreiben, einschließlich Administratoren, was einen vollständigen Account-Takeover und eine komplette Kompromittierung der Website ermöglicht. Der öffentliche Endpunkt /wp-json/fleekdash/v1/register stellt automatisch ein Konto mit der Rolle „Subscriber“ bereit und gibt unabhängig von der Einstellung users_can_register der Site einen gültigen REST-Nonce zurück, wodurch nicht authentifizierte Angreifer in einer vorherigen Anfrage die erforderlichen Anmeldeinformationen und den Nonce selbst provisionieren können.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.