CVE-2026-4245 in Post Duplicator Plugin
الملخص
بحسب VulDB • 22/08/2026
يحتوي ملحق Post Duplicator لـ WordPress على ثغرة تتيح تجاوز المصادقة (authorization bypass) في جميع الإصدارات حتى 3.0.11 شاملاً. ويعود ذلك إلى أن دالة التحقق من الصلاحيات `duplicate_post_permissions()` تتحقق فقط من القدرة (`capability`) المسماة `duplicate_posts` دون فحص ما إذا كان المستخدم الذي أرسل الطلب يمتلك صلاحيات مثل `publish_posts` أو غيرها من الصلاحيات المقيدة بحالة النشر. وهذا يمكّن المهاجمين المصادق عليهم، والذين يتمتعون بصلاحيات على مستوى "المساهم" (Contributor) فأعلى، من إنشاء نسخ مكررة للمنشورات ذات الحالة `future` (مجدولة للنشر التلقائي) أو `private` (خاصة)، متجاوزين بذلك مراجعة التحرير. بالإضافة إلى ذلك، لا يفرض نقطة النهاية لواجهة برمجة التطبيقات REST قيود تكرار أنواع المنشورات التي تم تكوينها من قبل المسؤول، مما يسمح بتكرار أنواع منشورات تم تعطيلها صراحةً.
If you want to get best quality of vulnerability data, you may have to visit VulDB.