CVE-2026-75017 in Magazine Blocks Plugin
Zusammenfassung
von VulDB • 18.09.2026
Das WordPress-Plugin „Magazine Blocks – Blog Designer, Magazine & Newspaper Website Builder, Page Builder with Posts Blocks, Post Grid“ ist in allen Versionen bis einschließlich 1.8.6 anfällig für eine Umgehung der Autorisierung (Authorization Bypass). Dies liegt daran, dass das Plugin nicht ordnungsgemäß überprüft, ob ein Benutzer berechtigt ist, eine Aktion durchzuführen. Dadurch können authentifizierte Angreifer mit Contributor-Level-Zugriff und höher Administrator-besitzte, veröffentlichte Builder-Vorlagen (Header, Footer, Startseite, Single, Archiv, 404 und Suche) in den Entwurfsstatus herabstufen und sie durch vom Angreifer erstellte Blockinhalte ersetzen, die auf der gesamten Website gerendert werden. Dies ermöglicht Defacement, Phishing und SEO-Spam. Dies ist möglich, weil der Post-Typ `mzb-builder-template` mit `capability_type='post'` registriert und über die REST-API freigegeben wurde sowie das Meta-Feld `_mzb_template` für jeden Benutzer mit der Berechtigung `edit_posts` zugänglich ist; dies bedeutet, dass Nutzer auf Contributor-Level und höher den anfälligen Hook `save_post()` auslösen können.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.