CVE-2026-4245 in Post Duplicator Plugin
Résumé
par VulDB • 22/08/2026
Le plugin Post Duplicator pour WordPress est vulnérable à un contournement d'autorisation dans toutes les versions jusqu'à la 3.0.11 incluse. Cela est dû au fait que le callback de permission `duplicate_post_permissions()` ne vérifie uniquement la capacité `duplicate_posts` sans vérifier si l'utilisateur demandeur détient également la capacité `publish_posts` ou d'autres capacités restreintes par statut. Cela permet aux attaquants authentifiés, disposant d'un accès niveau « Contributeur » et supérieur, de créer des publications dupliquées avec le statut `future` (planifiées, auto-publiées) ou `private`, contournant ainsi la revue éditoriale. De plus, l'endpoint REST n'impose pas les restrictions de duplication de types de publication configurées par l'administrateur, permettant la duplication de types de publication qui ont été explicitement désactivés.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.