CVE-2026-74853: falha de média gravidade em Pods
Pods < 3.3.9.2 - Author+ Arbitrary File Read via Shortcode Display Callback
Publicada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
33Vexday Risk Score
Sem sinal de exploração. Ela tem prova de conceito pública.
ssvc Attendcvss 6.8epss 0.4%
The Pods WordPress plugin before 3.3.9.2 does not restrict which functions a display callback may resolve to, allowing users with the author role and above to read arbitrary files from the server, including files outside the web root. Only sites using the restricted display-callback mode are affected, which is the automatic default on installations whose first Pods version predates 3.1.
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N
Produtos afetados
Unknown · PodsPoCs públicas encontradas — 1
cve_referencewpscan.com/vulnerability/f53b628f-c825-4cf5-91bd-13bd9526e90c/não verificado⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — Pods
No mesmo produto, das mais perigosas para as menos.
CVE-2026-74851HIGHPods < 3.3.9.1 - Author+ RCE via Shortcode Display CallbackEPSS 0.7%CVE-2025-1446MEDIUMPods < 3.2.8.2 - Admin+ SQL InjectionEPSS 0.4%CVE-2024-9883MEDIUMPods < 3.2.7.1 - Admin+ Stored XSSEPSS 0.4%CVE-2024-11849MEDIUMPods – Custom Content Types and Fields < 3.2.8.1 - Admin+ Stored XSSEPSS 0.3%