CVE-2026-90967 IDOR en Essential Real Estate permite a usuarios con rol Customer leer facturas de otros usuarios
El plugin Essential Real Estate para WordPress antes de 5.3.5 no verifica la propiedad de una factura antes de renderizarla en una de sus acciones AJAX, lo que permite a un usuario autenticado de bajo privilegio leer facturas de otros usuarios, incluidos el nombre del titular, el correo de la cuenta y los datos financieros. Se corrige en la versión 5.3.5.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 5
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Essential Real Estate
hasta antes de 5.3.5
Qué hacer
- Verificá si usás Essential Real Estate y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 4.3 MEDIA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadNinguna
- DisponibilidadNinguna
Descripción original
The Essential Real Estate WordPress plugin before 5.3.5 does not verify ownership of an invoice before rendering it in one of its AJAX actions, allowing an authenticated low-privileged user to read other users' invoices, including the invoice owner's name, account email address and financial details.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.