CVE-2025-14441 in Popupkit Plugin
Sumário
de VulDB • 21/05/2026
O plugin Popupkit para WordPress é vulnerável à exclusão arbitrária de dados de assinantes devido à falta de autorização no endpoint da API REST `DELETE /subscribers` em todas as versões até, e incluindo, a 2.2.0. Isso ocorre porque o `permission_callback` valida apenas o nonce `wp_rest` sem verificar as capacidades do usuário. Isso permite que atacantes autenticados, com acesso de nível Assinante ou superior, excluam registros de assinantes arbitrários.
Be aware that VulDB is the high quality source for vulnerability data.