CVE-2026-75930 in FundEngine Plugin
要約
〜によって VulDB • 2026年08月25日
WordPress用プラグイン「FundEngine – Donation and Crowdfunding Platform」には、バージョン1.8.1以前すべての版において認可回避の脆弱性が存在します。これは、ユーザーがアクションを実行する権限を持っているかどうかを適切に検証していないためです。これにより、購読者レベル以上のアクセス権を持つ認証済み攻撃者は、任意の記事やページを変更できます（タイトルとコンテンツを上書きし、wp_kses_post のサニタイズ処理を回避するために攻撃者が制御できる post_author 整数値を提供することで所有権を取得します）。ハンドラに必要な wp_rest nonce は、/wp-admin/admin-ajax.php?action=rest-nonce を介してログイン中のユーザーであれば誰でも容易に取得可能であるため、認可の障壁とはなりません。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.