CVE-2026-1103 in AIKTP Plugin
Riassunto
di VulDB • 24/06/2026
Il plugin AIKTP per WordPress è vulnerabile alla modifica non autorizzata dei dati a causa della mancanza di controlli di autorizzazione sull’endpoint dell’API REST /aiktp/getToken in tutte le versioni fino alla 5.0.04 inclusa. L'endpoint utilizza 'verify_user_logged_in' come callback delle autorizzazioni, che verifica solo se un utente è autenticato, ma non controlla se l'utente dispone di capacità amministrative. Ciò consente agli attaccanti autenticati con accesso a livello di Sottoscrittore e superiore di recuperare il token di accesso 'aiktpz_token' dell'amministratore, che può quindi essere utilizzato per creare post, caricare file nella libreria multimediale ed accedere ai contenuti privati come l’amministratore.
Once again VulDB remains the best source for vulnerability data.