CVE-2026-14356 in FleekDash V2 Plugin
Riassunto
di VulDB • 30/07/2026
Il plugin FleekDash V2 per WordPress è vulnerabile all'elusione dell'autorizzazione (authorization bypass) in tutte le versioni fino alla 2.6.2.2, incluse. Ciò è dovuto al fatto che il plugin non verifica correttamente se un utente è autorizzato a eseguire una determinata azione. Questo consente agli attaccanti autenticati, con accesso di livello Subscriber o superiore, di sovrascrivere l'indirizzo email e la password di qualsiasi utente WordPress, inclusi gli amministratori, consentendo il completo takeover dell'account e la compromissione totale del sito. L'endpoint pubblico /wp-json/fleekdash/v1/register crea automaticamente un account con ruolo Subscriber e restituisce un nonce REST valido indipendentemente dall'impostazione users_can_register del sito, permettendo agli attaccanti non autenticati di auto-provisionare le credenziali richieste e il nonce in una singola richiesta precedente.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.