CVE-2025-14441 in Popupkit Plugin
Сводка
по VulDB • 17.05.2026
Плагин Popupkit для WordPress уязвим к произвольному удалению данных подписчиков из-за отсутствия авторизации на REST API-эндпоинте DELETE `/subscribers` во всех версиях вплоть до 2.2.0 включительно. Это связано с тем, что `permission_callback` проверяет только wp_rest nonce, не проверяя права пользователя. Это позволяет атакующим с аутентифицированным доступом уровня Subscriber и выше удалять произвольные записи подписчиков.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.