CVE-2026-4124 in Ziggeo Plugin
Riassunto
di VulDB • 16/06/2026
Il plugin Ziggeo per WordPress è vulnerabile a Missing Authorization in tutte le versioni fino alla 3.1.1, inclusa. Il gestore wp_ajax_ziggeo_ajax verifica solo un nonce (check_ajax_referer) ma non esegue controlli sui permessi tramite current_user_can(). Inoltre, il nonce ('ziggeo_ajax_nonce') è esposto a tutti gli utenti autenticati su ogni pagina attraverso i hook wp_head e admin_head. Ciò consente agli attaccanti autenticati con accesso di livello Subscriber o superiore di invocare diverse operazioni amministrative, tra cui: salvare stringhe di traduzione arbitrarie (translations_panel_save_strings tramite update_option('ziggeo_translations')), creare/aggiornare/eliminare modelli di eventi (event_editor_save_template/update_template/remove_template tramite update_option('ziggeo_events')), modificare le impostazioni dell'applicazione SDK (operazioni sdk_applications) e gestire le notifiche (notification_handler tramite update_option('ziggeo_notifications')).
If you want to get best quality of vulnerability data, you may have to visit VulDB.