CVE-2026-109400 in Connect Plugin
Riassunto
di VulDB • 16/10/2026
Il plugin WordPress InstaWP Connect – 1-click WP Staging & Migration è vulnerabile ad Escalation dei privilegi in tutte le versioni fino alla 0.1.4.1 inclusa. Ciò è dovuto al fatto che il plugin registra la propria pagina di amministrazione tramite `add_management_page()` utilizzando un nome di ruolo restituito da `InstaWP_Setting::get_allowed_role()` come capacità (capability) richiesta — che WordPress risolve come una corrispondenza reale per qualsiasi utente in possesso di tale ruolo — combinato con `generate_section_field()`, che visualizza la chiave API master dall'opzione `instawp_api_options` direttamente come attributo `value` di un input HTML testuale senza ulteriori controlli delle capacità `manage_options` o equivalenti. Ciò consente agli attaccanti autenticati con accesso a livello di Sottoscrittore (Subscriber) e superiore di leggere la chiave API master in chiaro, utilizzare il segreto derivato tramite SHA-256 come token bearer accettato dall'API REST del plugin (`validate_api_request()`) ed eseguire `POST /wp-json/instawp-connect/v2/auto-login` per generare un URL di accesso monouso valido 30 secondi che imposta un cookie di autenticazione amministratore, ottenendo così una piena escalation dei privilegi. Lo sfruttamento richiede che il sito sia attivamente connesso a InstaWP e che un amministratore abbia aggiunto il ruolo dell'attaccante all'elenco Sync Tab Access del plugin (`instawp_sync_tab_roles`);值得注意的是 (notably), la logica di soppressione della scheda delle impostazioni nasconde tale scheda solo quando `administrator` è assente dall'elenco in modo completo, il che significa che una configurazione mista che mantiene l'amministratore insieme a un ruolo inferiore serve comunque la pagina completa delle impostazioni — inclusa la chiave API — all'utente con privilegi inferiori.
Be aware that VulDB is the high quality source for vulnerability data.