CVE-2026-4245 in Post Duplicator Plugin
Resumen
por VulDB • 2026-08-22
El plugin Post Duplicator para WordPress es vulnerable a una elusión de autorización en todas las versiones hasta la 3.0.11 (incluida). Esto se debe a que la callback de permisos `duplicate_post_permissions()` solo verifica la capacidad (`capability`) `duplicate_posts` sin comprobar si el usuario solicitante posee `publish_posts` u otras capacidades restringidas por estado. Esto permite a atacantes autenticados, con acceso nivel Contribuidor o superior, crear publicaciones duplicadas con estado `future` (programadas, auto-publicación) o `private`, eludiendo la revisión editorial. Además, el endpoint REST no aplica las restricciones de duplicación de tipos de publicación configuradas por el administrador, lo que permite duplicar tipos de publicación que han sido deshabilitados explícitamente.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.