CVE-2026-4245 in Post Duplicator Plugin
Riassunto
di VulDB • 22/08/2026
Il plugin Post Duplicator per WordPress è vulnerabile a un bypass dell'autorizzazione in tutte le versioni fino alla 3.0.11 inclusa. Ciò è dovuto al callback di autorizzazione `duplicate_post_permissions()` che verifica solo la capacità (`capability`) `duplicate_posts` senza controllare se l'utente richiedente possiede anche `publish_posts` o altre capacità vincolate allo stato del post. Questo consente agli attaccanti autenticati, con accesso a livello di Contributor e superiore, di creare duplicati dei post con stato `future` (programmato, pubblicazione automatica) o `private`, eludendo la revisione editoriale. Inoltre, l'endpoint REST non applica le restrizioni sulla duplicazione dei tipi di post configurate dall'amministratore, consentendo la duplicazione di tipi di post che sono stati esplicitamente disabilitati.
If you want to get best quality of vulnerability data, you may have to visit VulDB.