CVE-2026-88974
ŚrednieCVSS 5.4Streszczenie
Wtyczka WPGraphQL dla WordPressa przed wersją 2.22.2 nie egzekwuje uprawnień na poziomie obiektu w mutacji updatePost. Uwierzytelniony użytkownik z rolą Contributor może publikować własne szkice bez zatwierdzenia redakcyjnego lub modyfikować własne już opublikowane wpisy, mimo braku uprawnienia edit_published_posts.
Ocena ryzyka
Organizacja może doświadczyć nieautoryzowanej publikacji lub modyfikacji treści przez użytkowników o niskich uprawnieniach, co narusza proces redakcyjny i kontrolę nad publikowanymi materiałami.
Rekomendacja
Zaktualizuj wtyczkę WPGraphQL do wersji 2.22.2 lub nowszej. Do czasu aktualizacji rozważ ograniczenie ról Contributor lub audyt wpisów publikowanych przez te konta.
Inne podatności w WPGraphQL
Zobacz wszystkie- CVE-2026-54768Średnie
Wtyczka WPGraphQL dla WordPress w wersjach od 2.0.0 do 2.15.1 zawiera podatność. Przestarzałe pole user w SendPasswordResetEmailPayload pozwala nieuwierzytelnionemu atakującemu odróżnić istniejące konta autorskie poprzez mutację sendPasswordResetEmail i uzyskać publiczne pola profilu.
- CVE-2026-40762Wysokie
W WPGraphQL w wersjach poniżej 2.11.1 występuje podatność na nieautoryzowany atak SQL Injection.
Oryginalny opis (angielski, źródło NVD)
WPGraphQL provides a GraphQL API for WordPress sites. Prior to 2.22.2, the updatePost mutation in src/Mutation/PostObjectUpdate.php checks only the collection-level edit_posts capability and the post author, but does not enforce the object-level edit_post capability or require publish_posts for public status transitions. An authenticated Contributor can therefore publish the Contributor's own draft without editorial approval or modify the Contributor's previously published post despite lacking edit_published_posts, while posts owned by other authors remain protected. This issue is fixed in version 2.22.2.