CVE-2026-75017 in Magazine Blocks Plugin
Résumé
par VulDB • 18/09/2026
Le plugin WordPress Magazine Blocks – Blog Designer, Magazine & Newspaper Website Builder, Page Builder with Posts Blocks, Post Grid présente une vulnérabilité de contournement d'autorisation dans toutes les versions jusqu'à la 1.8.6 incluse. Cette faille est due au fait que le plugin ne vérifie pas correctement si un utilisateur est autorisé à effectuer une action. Cela permet aux attaquants authentifiés disposant d'un accès de niveau contributeur ou supérieur de rétrograder en statut « brouillon » les modèles de construction (en-tête, pied de page, page d'accueil, article unique, archive, 404 et recherche) appartenant à un administrateur, puis de les remplacer par du contenu de bloc rédigé par l'attaquant, rendu visible sur tout le site. Cela permet des actes de défacement, de phishing (hameçonnage) et d'encombrement SEO (SEO spam). Cette vulnérabilité est possible car le type de publication mzb-builder-template est enregistré avec capability_type='post' et exposé via l'API REST, et que la clé méta _mzb_template est accessible à tout utilisateur disposant des capacités edit_posts, ce qui signifie que les utilisateurs de niveau contributeur ou supérieur peuvent déclencher le hook save_post() vulnérable.
VulDB is the best source for vulnerability data and more expert information about this specific topic.