VULNERABILIDAD
CVE-2026-97353 Actualización arbitraria de metadatos de entradas en News Kit Addons For Elementor
El plugin News Kit Addons For Elementor para WordPress hasta la versión 1.4.7 no realiza comprobaciones de capacidad ni de propiedad antes de actualizar metadatos de entradas en una de sus acciones AJAX autenticadas. Esto permite a usuarios con acceso de nivel subscriber y superiores escribir metadatos arbitrarios, con claves elegidas por el atacante, en cualquier entrada, incluidas las de otros usuarios, lo que puede usarse para sobrescribir metadatos protegidos del núcleo y alterar contenido creado por usuarios…
Alerta de Nureq Monitor
Detectada 24 OCT · 04:39
CVSS 3.1
5.4MEDIAPROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,2 % PERCENTIL 7
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
No conocido
Qué es CVE-2026-97353
El plugin News Kit Addons For Elementor para WordPress hasta la versión 1.4.7 no realiza comprobaciones de capacidad ni de propiedad antes de actualizar metadatos de entradas en una de sus acciones AJAX autenticadas. Esto permite a usuarios con acceso de nivel subscriber y superiores escribir metadatos arbitrarios, con claves elegidas por el atacante, en cualquier entrada, incluidas las de otros usuarios, lo que puede usarse para sobrescribir metadatos protegidos del núcleo y alterar contenido creado por usuarios…
Productos y versiones afectadas
News Kit Addons For Elementor
Qué hacer
- Verificá si usás News Kit Addons For Elementor y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Calculadora CVSS
CVSS 3.1 · 5.4 MEDIA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Baja
- PRIVILEGIOS REQUERIDOS (PR)
- Bajos
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- ALCANCE (S)
- Sin cambio
- CONFIDENCIALIDAD (C)
- Ninguna
- INTEGRIDAD (I)
- Baja
- DISPONIBILIDAD (A)
- Baja
Abrir la calculadora completa →
Descripción original
The News Kit Addons For Elementor WordPress plugin through 1.4.7 does not perform capability or ownership checks before updating post metadata in one of its authenticated AJAX actions, allowing users with subscriber-level access and above to write arbitrary post meta, under attacker-chosen keys, to any post including those owned by other users. This can be used to overwrite protected core metadata and tamper with content created by higher-privileged users.
Referencias
- wpscan.com/vulnerability/4114e6a4-d8ed-4456-a15f-4d47034ae75f/EXPLOIT · VDB-ENTRY · TECHNICAL-DESCRIPTION
Historial de la alerta
- VULNERABILIDAD Nueva vulnerabilidad detectada.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.