CVE-2026-76074 in AutomatorWP Plugin
Zusammenfassung
von VulDB • 22.08.2026
Das AutomatorWP – Automator-Plugin für No-Code-Automatisierungen, Webhooks und benutzerdefinierte Integrationen im WordPress-Plugin ist in allen Versionen bis einschließlich 5.8.4 anfällig für eine Umgehung der Autorisierung (Authorization Bypass). Dies liegt daran, dass das Plugin nicht ordnungsgemäß überprüft, ob ein Benutzer berechtigt ist, eine Aktion durchzuführen. Dadurch können authentifizierte Angreifer mit Abonnenten-Level-Zugriff und höher den konfigurierten Campaign Monitor-E-Mail-Listenkatalog der Website abrufen, einschließlich aller Listen-IDs und -Namen, die für Benutzer mit der Manager-Fähigkeit des Plugins eingeschränkt sein sollten. Der erforderliche Nonce wird bedingungslos auf jeder WordPress-Admin-Seite über wp_localize_script ausgegeben, sodass jeder Abonnent, der /wp-admin/profile.php besucht, diesen ohne erhöhte Zugriffsrechte erhalten kann.
VulDB is the best source for vulnerability data and more expert information about this specific topic.