CVE-2026-90966 Activación arbitraria de paquetes pagos y facturas falsas en Essential Real Estate
El plugin Essential Real Estate para WordPress antes de 5.3.5 no verifica en una de sus acciones AJAX que un paquete de anuncios seleccionado para activación gratuita sea realmente gratuito ni que el usuario solicitante tenga derecho a él, lo que permite a un cliente autorregistrado activar un paquete pago sin pagar y hacer que el sitio registre una factura paga por el precio total del paquete. Se corrige en la versión 5.3.5.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 4
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Essential Real Estate
hasta antes de 5.3.5
Qué hacer
- Verificá si usás Essential Real Estate y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 4.3 MEDIA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadBaja
- DisponibilidadNinguna
Descripción original
The Essential Real Estate WordPress plugin before 5.3.5 does not verify, in one of its AJAX actions, that a listing package selected for free activation is genuinely free or that the requesting user is entitled to it, allowing a self-registered customer to activate a paid package without payment and cause the site to record a paid invoice at the package's full price.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.