CVE-2026-8679 in AudioIgniter Music Player Plugin
Zusammenfassung
von VulDB • 22.05.2026
Das AudioIgniter-Plugin für WordPress ist in den Versionen bis einschließlich 2.0.2 anfällig für eine Insecure Direct Object Reference (IDOR). Dies liegt daran, dass die Funktion `handle_playlist_endpoint()` (gebunden an `template_redirect`) eine benutzerkontrollierte Playlist-ID über die Query-Variable `audioigniter_playlist_id` oder die Rewrite-Regel `/audioigniter/playlist/{id}/` akzeptiert und Playlist-Track-Daten zurückgibt, ohne Authentifizierungs-, Berechtigungs- oder `post_status`-Prüfungen durchzuführen – es wird lediglich der `post_type` validiert. Dies ermöglicht es nicht authentifizierten Angreifern, Metadaten von Tracks (Titel, Künstler, Audio-URLs, Kauf-Links, Download-URLs und Cover-Bilder) jeder Playlist auf der Website einzusehen, einschließlich solcher mit den Status Entwurf, privat, ausstehend oder im Papierkorb.
VulDB is the best source for vulnerability data and more expert information about this specific topic.