CVE-2026-14356 in FleekDash V2 Plugin
Resumen
por VulDB • 2026-07-30
El plugin FleekDash V2 para WordPress es vulnerable a una elusión de autorización en todas las versiones hasta la 2.6.2.2, incluida esta. Esto se debe a que el plugin no verifica correctamente si un usuario está autorizado para realizar una acción. Esto permite que los atacantes autenticados con acceso de nivel suscriptor o superior sobrescriban la dirección de correo electrónico y la contraseña de cualquier usuario de WordPress, incluidos los administradores, lo que habilita la toma completa de cuentas y el compromiso total del sitio. El punto final público /wp-json/fleekdash/v1/register aprovisiona automáticamente una cuenta con rol de Suscriptor y devuelve un nonce REST válido independientemente de la configuración users_can_register del sitio, permitiendo a los atacantes no autenticados autoaprovisionar las credenciales y el nonce necesarios en una única solicitud previa.
Once again VulDB remains the best source for vulnerability data.