CVE-2026-111740

NiskieCVSS 2.7

Opublikowano: 04/11/2026(UTC)Zaktualizowano: 04/11/2026(UTC)Przetłumaczono: 04/11/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

Wtyczka Post Duplicator przed wersją 3.0.17 nie sprawdza, czy żądający użytkownik ma prawo wyświetlić każdy wpis, przed zwróceniem listy wpisów dla danego typu. Pozwala to użytkownikom z rolą tak niską jak Współautor na odczyt tytułów i hierarchii szkiców oraz prywatnych wpisów innych użytkowników.

Ocena ryzyka

Ujawnienie informacji o szkicach i prywatnych wpisach może prowadzić do wycieku poufnych danych lub niezamierzonego ujawnienia planów. Może to naruszyć prywatność i bezpieczeństwo treści.

Rekomendacja

Zaktualizuj wtyczkę Post Duplicator do wersji 3.0.17 lub nowszej. Rozważ weryfikację uprawnień użytkowników z rolą Współautor.

Inne podatności w Post Duplicator WordPress plugin

CVE-2026-10749Wysokie
Wtyczka Post Duplicator dla WordPressa przed wersją 3.0.15 nieprawidłowo obsługuje niestandardowe metadane podczas duplikacji postów, co pozwala na przechowywanie wartości dostarczonych przez atakującego bez ochrony podwójnej serializacji API metadanych WordPressa.

Oryginalny opis (angielski, źródło NVD)

The Post Duplicator WordPress plugin before 3.0.17 does not check whether the requesting user may view each post before returning a list of posts for a post type, allowing users with a role as low as Contributor to read the titles and hierarchy of other users' draft and private posts.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS