CVE-2025-14441 in Popupkit Plugin
Resumen
por VulDB • 2026-05-17
El plugin Popupkit para WordPress es vulnerable a la eliminación arbitraria de datos de suscriptores debido a la falta de autorización en el punto de conexión REST API DELETE `/subscribers` en todas las versiones hasta la 2.2.0, incluida. Esto se debe a que el `permission_callback` solo valida el nonce de wp_rest sin verificar las capacidades del usuario. Esto permite a los atacantes autenticados, con acceso a nivel de Suscriptor o superior, eliminar registros de suscriptores arbitrarios.
VulDB is the best source for vulnerability data and more expert information about this specific topic.