CVE-2026-121874
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Post Duplicator przed wersją 3.0.18 nie ogranicza zapisywania ustawień wyłącznie do własnych opcji. Umożliwia to administratorowi witryny w sieci multisite, który nie jest Super Adminem, nadpisanie dowolnych opcji swojej witryny, w tym definicji ról, i tym samym przyznanie sobie uprawnień do zarządzania siecią.
Ocena ryzyka
Administrator witryny może eskalować swoje uprawnienia do poziomu Super Admina, naruszając bezpieczeństwo całej sieci multisite i potencjalnie przejmując kontrolę nad innymi witrynami.
Rekomendacja
Zaktualizuj wtyczkę Post Duplicator do wersji 3.0.18 lub nowszej, aby ograniczyć zapisywanie ustawień wyłącznie do własnych opcji.
Inne podatności w Post Duplicator WordPress plugin
Zobacz wszystkie- CVE-2026-121875Wysokie
Wtyczka WordPress Post Duplicator przed wersją 3.0.18 nie waliduje uprawnień przypisanych rolom poprzez swoje ustawienia uprawnień. Umożliwia to administratorowi witryny w sieci multisite, który nie jest Super Adminem, przyznanie dowolnej roli arbitralnych uprawnień, w tym uprawnień do zarządzania siecią zastrzeżonych dla Super Admina.
- CVE-2026-111740Niskie
Wtyczka Post Duplicator przed wersją 3.0.17 nie sprawdza, czy żądający użytkownik ma prawo wyświetlić każdy wpis, przed zwróceniem listy wpisów dla danego typu. Pozwala to użytkownikom z rolą tak niską jak Współautor na odczyt tytułów i hierarchii szkiców oraz prywatnych wpisów innych użytkowników.
- CVE-2026-10749Wysokie
Wtyczka Post Duplicator dla WordPressa przed wersją 3.0.15 nieprawidłowo obsługuje niestandardowe metadane podczas duplikacji postów, co pozwala na przechowywanie wartości dostarczonych przez atakującego bez ochrony podwójnej serializacji API metadanych WordPressa.
Oryginalny opis (angielski, źródło NVD)
The Post Duplicator WordPress plugin before 3.0.18 does not restrict settings saves to its own options, allowing a site administrator on a multisite network who is not a Super Admin to overwrite arbitrary options of their site, including the role definitions, and so grant themselves network-management capabilities.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS