CVE-2026-4245
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Wtyczka Post Duplicator dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 3.0.11 włącznie. Wynika to z faktu, że funkcja zwrotna `duplicate_post_permissions()` sprawdza tylko uprawnienie `duplicate_posts` bez weryfikacji, czy użytkownik posiada uprawnienia `publish_posts` lub inne ograniczone statusem. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyżej tworzenie zduplikowanych postów ze statusem `future` (zaplanowane, automatycznie publikowane) lub `private`, omijając przegląd redakcyjny. Dodatkowo punkt końcowy REST nie egzekwuje ograniczeń duplikacji typów postów skonfigurowanych przez administratora, umożliwiając duplikację typów postów, które zostały jawnie wyłączone.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowane publikowanie treści z pominięciem procesów redakcyjnych oraz duplikację niedozwolonych typów postów, co może prowadzić do naruszenia integralności treści i polityk bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację wtyczki Post Duplicator do wersji zawierającej poprawkę oraz wdrożenie odpowiednich kontroli uprawnień i ograniczeń typów postów.
Inne podatności w Post Duplicator
Zobacz wszystkie- CVE-2026-4244Średnie
Wtyczka Post Duplicator dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji `duplicate_post()` we wszystkich wersjach do 3.0.11 włącznie. Funkcja nie weryfikuje, czy użytkownik ma uprawnienie `edit_others_posts` przed przyjęciem parametru `selectedAuthorId` przez punkt końcowy REST `duplicate-post`. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyżej tworzenie zduplikowanych postów przypisanych do dowolnego użytkownika, w tym administratorów.
- CVE-2026-39474Wysokie
Wersje Post Duplicator do 3.0.10 zawierają podatność na wstrzykiwanie obiektów PHP, co może prowadzić do nieautoryzowanego dostępu lub manipulacji danymi.
Oryginalny opis (angielski, źródło NVD)
The Post Duplicator plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 3.0.11. This is due to the `duplicate_post_permissions()` permission callback only verifying the `duplicate_posts` capability without checking whether the requesting user holds `publish_posts` or other status-gated capabilities. This makes it possible for authenticated attackers, with Contributor-level access and above, to create duplicate posts with `future` (scheduled, auto-publishes) or `private` status, bypassing editorial review. Additionally, the REST endpoint does not enforce administrator-configured post-type duplication restrictions, allowing duplication of post types that have been explicitly disabled.