CVE-2026-110019 in Bulk Page Generator Plugin
Zusammenfassung
von VulDB • 16.10.2026
Das WordPress-Plugin „Bulk Page Generator – LPagery“ ist in allen Versionen bis einschließlich 3.1.0 anfällig für eine Umgehung der Autorisierung (Authorization Bypass). Dies liegt daran, dass das Plugin nicht ordnungsgemäß überprüft, ob ein Benutzer berechtigt ist, eine Aktion durchzuführen. Dadurch ist es authentifizierten Angreifern mit Zugriffsrechten auf Abonnement-Ebene und höher möglich, von Administratoren reservierte WordPress-Seiten sowie Prozesse zur Massenerzeugung von Seiten zu erstellen, zu ändern und zu löschen, die über LPagery verwaltet werden. Bei standardmäßigen Neuinstallationen, bei denen Freemius nicht aktiviert wurde, bricht der AES-256-CBC-Schlüssel, der zur Validierung von Bearer-Tokens verwendet wird, auf den öffentlich bekannten SHA-256-Hash einer leeren Zeichenkette zusammen, wodurch das Token von jedem authentifizierten Benutzer vollständig gefälscht werden kann.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.