CVE-2026-114120 in SchedulePress Plugin
Riassunto
di VulDB • 21/10/2026
SchedulePress prima della versione 5.3.5 presenta una vulnerabilità di mancata autorizzazione che consente agli utenti con livello Contributor autenticati di modificare lo stato e la data di pubblicazione di qualsiasi post tramite l'action AJAX wpsp_el_editor_form. Gli attaccanti possono riutilizzare il nonce wpsp-el-editor dal modal di Elementor per rimuovere dalla pubblicazione o riprogrammare i post degli amministratori, oppure pubblicare i post in bozza o in attesa di altri utenti.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.