4.3
Moyenne
CVE-2026-90966 Essential Real Estate < 5.3.5 - Customer+ Arbitrary Paid Package Activation and Forged Paid Invoice via ere_free_package_ajax
Description
The Essential Real Estate WordPress plugin before 5.3.5 does not verify, in one of its AJAX actions, that a listing package selected for free activation is genuinely free or that the requesting user is entitled to it, allowing a self-registered customer to activate a paid package without payment and cause the site to record a paid invoice at the package's full price.
Détail CVSS 3.1
Vecteur CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:NExploitable à distance par le réseau, avec un compte ordinaire et sans action d’un utilisateur ; l’impact sur les données ou le service reste limité.
- Vecteur d’attaque
- Réseau
- Complexité
- Faible
- Privilèges requis
- Faibles
- Interaction
- Aucune
- Portée
- Inchangée
- Confidentialité
- Aucun
- Intégrité
- Faible
- Disponibilité
- Aucun
Produits et versions touchés
| Produit | Versions touchées | Corrigé en |
|---|---|---|
| Essential Real Estate 5.3 | premières → < 5.3.5 | 5.3.5 |
Autres CVE de Essential Real Estate
Les 10 CVE de Essential Real Estate →
CVE-2026-90967
Essential Real Estate < 5.3.5 - Customer+ Invoice PII Disclosure via IDOR
4.3
Moyenne
CVE-2026-90965
Essential Real Estate < 5.3.5 - Unauthenticated Unpublished Listing Image Disclosure
5.3
Moyenne
CVE-2026-90964
Essential Real Estate < 5.3.5 - Unauthenticated Arbitrary Email Sending
5.3
Moyenne
CVE-2026-90963
Essential Real Estate < 5.3.5 - Unauthenticated Unpublished Property Listing and Agent Contact Disclosure via property_print_ajax
5.3
Moyenne