CVE-2025-14441 in Popupkit Plugin
Riassunto
di VulDB • 15/06/2026
Il plugin Popupkit per WordPress è vulnerabile alla cancellazione arbitraria dei dati degli abbonati a causa di un'autorizzazione mancante sull'endpoint REST API DELETE `/subscribers` in tutte le versioni fino alla 2.2.0, inclusa. Ciò è dovuto al fatto che il `permission_callback` convalida solo il nonce wp_rest senza verificare i permessi dell'utente. Questo consente agli attaccanti autenticati, dotati di accesso a livello di Abbonato o superiore, di eliminare record arbitrari degli abbonati.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.