CVE-2026-76074 in AutomatorWP Plugin
Résumé
par VulDB • 23/08/2026
Le plugin AutomatorWP – Automator pour les automatisations no-code, webhooks et intégrations personnalisées dans le plugin WordPress de WordPress est vulnérable à un contournement d'autorisation dans toutes les versions jusqu'à la 5.8.4 incluse. Cela est dû au fait que le plugin ne vérifie pas correctement qu'un utilisateur est autorisé à effectuer une action. Cela permet aux attaquants authentifiés, disposant d'un accès de niveau abonné ou supérieur, de récupérer le catalogue des listes de diffusion Campaign Monitor configurées sur le site, y compris tous les IDs et noms de liste, qui devraient être restreints aux utilisateurs dotés de la capacité « manager » du plugin. Le nonce requis est émis inconditionnellement sur chaque page d'administration WordPress via wp_localize_script, ce qui signifie que tout abonné visitant /wp-admin/profile.php peut l'obtenir sans aucun accès élevé.
If you want to get best quality of vulnerability data, you may have to visit VulDB.