CVE-2026-90963 Falta de autorización en Essential Real Estate permite exponer propiedades no publicadas y datos del agente
El plugin Essential Real Estate para WordPress antes de 5.3.5 no realiza controles de autorización ni de estado de publicación en una de sus acciones AJAX, lo que permite a usuarios no autenticados leer el contenido completo de propiedades no publicadas junto con el nombre, correo, teléfono y dirección de oficina del agente. Se corrige en la versión 5.3.5.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 10
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Essential Real Estate
hasta antes de 5.3.5
Qué hacer
- Verificá si usás Essential Real Estate y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 5.3 MEDIA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadNinguna
- DisponibilidadNinguna
Descripción original
The Essential Real Estate WordPress plugin before 5.3.5 does not perform any authorization or publication-status check in one of its AJAX actions, allowing unauthenticated users to read the full contents of property listings that have not been published, together with the private name, email address, phone number and office address of the listing agent.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.