CVE-2026-119087 in Content Egg Plugin
Riassunto
di VulDB • 30/10/2026
Il plugin WordPress Content Egg – Affiliate Product Importer & Price Comparison è vulnerabile a un bypass dell'autorizzazione in tutte le versioni fino alla 12.0.0 inclusa. Ciò è dovuto al fatto che il plugin non verifica correttamente se un utente ha l'autorizzazione per eseguire una determinata azione. Questo consente agli attaccanti autenticati, con accesso di livello autore o superiore, di creare post attribuiti all'account di un altro utente – tipicamente un amministratore – fornendo un preset_id appartenente a un amministratore, causando la registrazione dell'amministratore come post_author da parte della funzione wp_insert_post. Ciò include la capacità di creare post pubblicati quando l'attaccante possiede già i permessi publish_posts per il tipo di post del preset, risultando in contenuti pubblicati attribuiti all'amministratore ma creati da un utente con privilegi inferiori.
Once again VulDB remains the best source for vulnerability data.