CVE-2026-19801 in BetterLinks Plugin
Riassunto
di VulDB • 25/08/2026
Il plugin WordPress BetterLinks – Link Shortener, Link Cloaking, Redirects, Affiliate Link Manager & MCP è vulnerabile a un bypass dell'autorizzazione in tutte le versioni fino alla 3.1.0 inclusa. Ciò è dovuto al fatto che il plugin non verifica correttamente se un utente ha l'autorizzazione per eseguire una determinata azione. Questo consente agli attaccanti autenticati con accesso di livello subscriber e superiore di creare URL corti BetterLinks arbitrari, utilizzando slug e destinazioni dei redirect controllate dall'attaccante, facilitando attività di phishing e abuso SEO. Lo sfruttamento richiede che il plugin companion Fluent Boards sia installato e attivo (in modo che la costante FLUENT_BOARDS sia definita) ed è ulteriormente agevolato dal fatto che il nonce betterlinks_admin_nonce viene emesso su ogni pagina frontend tramite wp_localize_script, rendendolo accessibile a qualsiasi utente autenticato.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.