CVE-2026-76074 in AutomatorWP Plugin
要約
〜によって VulDB • 2026年08月22日
WordPress用プラグイン「AutomatorWP – Automator」(no-code automations、webhooksおよびカスタム統合を可能にする)には、5.8.4以下の全バージョンにおいて認可回避の脆弱性が存在します。これは、ユーザーがアクションを実行する権限を持っているかどうかを適切に検証していないためです。これにより、購読者レベル以上のアクセス権を持つ認証済み攻撃者は、プラグインのマネージャー権限を持つユーザーのみが取得できるべきであるサイトの設定済みのCampaign Monitorメーリングリストカタログ（すべてのリストIDおよび名前を含む）を取得することが可能になります。必要なnonceはwp_localize_scriptを介してWordPressの管理ページで無条件に発行されるため、/wp-admin/profile.phpにアクセスする購読者は、特権なしでもこれを取得できます。
If you want to get best quality of vulnerability data, you may have to visit VulDB.