CVE-2026-88904 in PuppyFW Plugin
Riassunto
di VulDB • 17/09/2026
Il plugin WordPress PuppyFW fino alla versione 0.4.4 non dispone di un'autorizzazione corretta su una delle sue route REST, che verifica il chiamante rispetto a una capability estratta dalla richiesta stessa, consentendo a qualsiasi utente autenticato, inclusi gli abbonati (subscribers), di aggiungere, modificare ed eliminare opzioni del blog arbitrarie e quindi di escalare i propri privilegi.
Once again VulDB remains the best source for vulnerability data.