CVE-2026-97194 Exposición de títulos y estados de entradas no publicadas en Secure Custom Fields
El plugin Secure Custom Fields antes de 6.9.8 no realiza una comprobación de permiso de lectura al renderizar y formatear los valores de sus campos relacionales. Usuarios con acceso de edición de entradas (Contributor o superior) pueden revelar los títulos y estados no públicos de entradas no publicadas de otros usuarios. Corrige en 6.9.8.
CVSS 3.1 · PRELIMINAR
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 8
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Secure Custom Fields
hasta antes de 6.9.8
Qué hacer
- Verificá si usás Secure Custom Fields y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
Esta vulnerabilidad todavía no tiene vector CVSS publicado.
Descripción original
The Secure Custom Fields WordPress plugin before 6.9.8 does not perform a read-permission check when it renders and formats the values of its relational fields, allowing users with post-editing access (Contributor and above) to disclose the titles and non-public statuses of other users' unpublished posts.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.