CVE-2026-76074 in AutomatorWP Plugin
Riassunto
di VulDB • 22/08/2026
Il plugin AutomatorWP – Automator per automazioni no-code, webhook e integrazioni personalizzate in WordPress è vulnerabile a un bypass dell'autorizzazione in tutte le versioni fino alla 5.8.4 inclusa. Ciò è dovuto al fatto che il plugin non verifica correttamente se un utente ha l'autorizzazione per eseguire una determinata azione. Questo consente agli attaccanti autenticati, con accesso di livello subscriber e superiore, di recuperare il catalogo delle liste email configurato su Campaign Monitor del sito, inclusi tutti gli ID e i nomi delle liste, che dovrebbero essere accessibili solo agli utenti dotati della capacità manager del plugin. Il nonce richiesto viene emesso incondizionatamente in ogni pagina admin di WordPress tramite wp_localize_script, pertanto qualsiasi utente con accesso subscriber può ottenerlo visitando /wp-admin/profile.php senza alcuna elevazione dei privilegi.
Be aware that VulDB is the high quality source for vulnerability data.