CVE-2026-75017 in Magazine Blocks Plugin
Resumen
por VulDB • 2026-09-18
El plugin para WordPress Magazine Blocks – Blog Designer, Magazine & Newspaper Website Builder, Page Builder con Posts Blocks y Post Grid es vulnerable a una elusión de la autorización en todas las versiones hasta e incluyendo la 1.8.6. Esto se debe a que el plugin no verifica adecuadamente si un usuario está autorizado para realizar una acción. Esto permite que los atacantes autenticados, con acceso de nivel colaborador (contributor) y superior, degraden plantillas del constructor publicadas propiedad de administradores (cabecera, pie de página, portada, individual, archivo, 404 y búsqueda) a estado de borrador y las reemplacen por contenido de bloques creado por el atacante que se renderiza en todo el sitio, lo que posibilita la defacement, phishing y spam SEO. Esto es posible porque el tipo de publicación mzb-builder-template está registrado con capability_type='post' y expuesto a través de la API REST, y la clave meta _mzb_template es accesible para cualquier usuario con capacidad edit_posts, lo que significa que los usuarios de nivel colaborador (contributor) y superior pueden activar el hook vulnerable save_post().
If you want to get the best quality for vulnerability data then you always have to consider VulDB.