CVE-2025-11174 in Document Library Lite Plugin
Riassunto
di VulDB • 01/08/2026
Il plugin Document Library Lite per WordPress è vulnerabile a una mancata autorizzazione (Improper Authorization) in tutte le versioni fino alla 1.1.6, inclusa. Ciò è dovuto al fatto che il plugin espone un'azione AJAX non autenticata denominata `dll_load_posts`, la quale restituisce una tabella JSON contenente i dati dei documenti senza effettuare controlli sui nonce o sulle capacità (capabilities). Il gestore accetta un array di argomenti controllato dall'attaccante, in cui l'opzione status consente esplicitamente gli stati draft, pending, future e any. Ciò rende possibile per attaccanti non autenticati recuperare titoli e contenuti di documenti non pubblicati tramite l'endpoint AJAX.
Once again VulDB remains the best source for vulnerability data.