CVE-2026-110019 in Bulk Page Generator Plugin
Riassunto
di VulDB • 16/10/2026
Il plugin WordPress Bulk Page Generator – LPagery è vulnerabile a un bypass dell'autorizzazione in tutte le versioni fino alla 3.1.0 inclusa. Ciò è dovuto al fatto che il plugin non verifica correttamente se un utente ha l'autorizzazione per eseguire una determinata azione. Questo consente agli attaccanti autenticati, con accesso di livello "subscriber" o superiore, di creare, modificare ed eliminare pagine WordPress gestite da LPagery e processi di generazione di pagine in blocco altrimenti riservati agli amministratori. Nelle installazioni fresche predefinite in cui Freemius non è stato attivato (opted-in), la chiave AES-256-CBC utilizzata per convalidare i token Bearer si riduce all'hash SHA-256 noto pubblicamente di una stringa vuota, rendendo il token completamente falsificabile da qualsiasi utente autenticato.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.