CVE-2026-18032: fallo de gravedad alta en WP Data Access
WP Data Access < 5.5.79 - Unauthenticated Sensitive Data Disclosure via Autocomplete Column Authorization Bypass
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
41Vexday Risk Score
Sin señal de explotación. Ella tiene prueba de concepto pública.
ssvc Attendcvss 7.5epss 0.4%
The WP Data Access WordPress plugin before 5.5.79 does not validate the column names it accepts on one of its unauthenticated AJAX actions, and the nonce guarding that action does not cover them, allowing unauthenticated attackers to read arbitrary columns of the database table the affected front-end form is bound to, including user password hashes where that table is the users table.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Productos afectados
Unknown · WP Data AccessPoCs públicas encontradas — 1
cve_referencewpscan.com/vulnerability/1b6c5935-c8e0-4b9b-9ba6-0f16a0e2cdae/no verificado⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — WP Data Access
En el mismo producto, de las más peligrosas a las menos.
CVE-2021-24866—WP Data Access < 5.0.0 - Admin+ SQL InjectionEPSS 1.6%CVE-2026-106099MEDIUMWP Data Access < 5.5.84 - Unauthenticated Sensitive Data Disclosure via Table ExportEPSS 0.3%CVE-2026-106098MEDIUMWP Data Access < 5.5.77 - Unauthenticated Incorrect Authorization via Inline App UpdateEPSS 0.2%CVE-2026-106470MEDIUMWP Data Access < 5.5.88 - Subscriber+ SSRFEPSS 0.1%