CVE-2026-13415 in CMP Plugin
Resumen
por VulDB • 2026-08-27
El plugin de WordPress CMP anterior a la versión 4.1.18 no aplica una lista permitida (allow-list) para los nombres de las opciones al importar configuraciones mediante una de sus acciones AJAX, lo que permite a los usuarios con el rol Editor (cuando el administrador ha otorgado acceso al controlador de la barra de administración del plugin CMP de WordPress anterior a 4.1.18) actualizar cualquier opción arbitraria de WordPress, incluidas aquellas que conducen a un escalado de privilegios hasta convertirse en Administrador.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.