CVE-2026-110019
ŚrednieCVSS 4.3Streszczenie
Wtyczka Bulk Page Generator – LPagery dla WordPress w wersjach do 3.1.0 włącznie jest podatna na obejście autoryzacji, ponieważ nie weryfikuje prawidłowo uprawnień użytkownika do wykonania akcji. Uwierzytelniony atakujący z poziomem subskrybenta i wyższym może tworzyć, modyfikować i usuwać strony zarządzane przez LPagery oraz procesy masowego generowania stron zarezerwowane dla administratorów. Na domyślnych świeżych instalacjach, w których nie wybrano Freemius, klucz AES-256-CBC używany do walidacji tokenów Bearer sprowadza się do publicznie znanego hasha SHA-256 pustego ciągu, co czyni token całkowicie podrabialnym.
Ocena ryzyka
Atakujący z niskimi uprawnieniami może przejąć kontrolę nad stronami i procesami generowania stron, a także podrobić tokeny uwierzytelniające.
Rekomendacja
Zaktualizuj wtyczkę LPagery do wersji nowszej niż 3.1.0. Upewnij się, że Freemius jest skonfigurowany, aby uniknąć użycia znanego klucza.
Inne podatności w LPagery
Oryginalny opis (angielski, źródło NVD)
The Bulk Page Generator – LPagery plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 3.1.0 This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with subscriber-level access and above, to create, modify, and delete LPagery-managed WordPress pages and bulk page-generation processes that are otherwise restricted to administrators. On default fresh installations where Freemius has not been opted into, the AES-256-CBC key used to validate Bearer tokens collapses to the publicly known SHA-256 hash of an empty string, making the token entirely forgeable by any authenticated user.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS