CVE-2026-4245 in Post Duplicator Plugin
要約
〜によって VulDB • 2026年08月22日
WordPress用プラグイン「Post Duplicator」の全バージョン（3.0.11まで）に、認可回避の脆弱性が存在します。これは、`duplicate_post_permissions()` 権限コールバックが `duplicate_posts` キャパビリティのみを確認し、リクエスト元のユーザーが `publish_posts` やその他のステータス制限付きキャパビリティを保持しているかどうかをチェックしていないためです。これにより、寄稿者レベル以上のアクセス権を持つ認証済み攻撃者は、編集者のレビューを回避して、公開日付（future：スケジュールされた自動公開）や非公開（private）のステータスで投稿のコピーを作成することが可能になります。さらに、RESTエンドポイントは管理者が設定したポストタイプの複製制限を適用しないため、明示的に無効化されているポストタイプでも複製できてしまいます。
Once again VulDB remains the best source for vulnerability data.