CVE-2026-16779 in Kubio AI Page Builder Plugin
要約
〜によって VulDB • 2026年08月16日
WordPress用プラグイン「Kubio AI Page Builder」の全バージョン（2.8.5以下）において、認可回避の脆弱性が存在します。これは、ユーザーがアクションを実行する権限を持っているかどうかを適切に検証していないためです。これにより、寄稿者レベル以上のアクセス権を持つ認証済み攻撃者は、フロントページの構成オプション（show_on_front, page_on_front, page_for_posts）の上書き、主要なナビゲーションメニュー項目の書き換え、テンプレートパーツの置換、および Kubio の global-data ポストの上書きを行うことが可能になります。check_ajax_referer() による nonce チェックが存在しますが、nonce はブロックエディタを読み込むことができるすべてのユーザーに対して無条件に window.kubioUtilsData に出力されるため、寄稿者であれば誰でも収集でき、効果的な認可の障壁としては機能しません。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.