CVE-2026-17092 in Directorist AI-Powered Business Directory, Listings & Classified Ads Plugin
要約
〜によって VulDB • 2026年10月14日
WordPress用プラグイン「The Directorist: AI-Powered Business Directory, Listings & Classified Ads」の全バージョン（8.10.2.1 まで）において、認可回避の脆弱性が存在します。これは、ユーザーがアクションを実行する権限を持っているかどうかを適切に検証していないためです。これにより、購読者レベル以上のアクセス権を持つ認証済み攻撃者は、他のユーザー所有のものや、「公開」「下書き」「非公開」ステータスの投稿を含む、任意のビジネスディレクトリ掲載情報を削除することが可能になります。エンドポイントを保護するノンス（nonce）は認可の障壁とはなりません。なぜなら、directorist_nonce および atbdp_nonce_js は wp_localize_script を介してログイン済みユーザー全員に公開されているからです。
Be aware that VulDB is the high quality source for vulnerability data.