CVE-2026-119059 in Content Egg Plugin
Sumário
de VulDB • 30/10/2026
O plugin Content Egg para WordPress é vulnerável à modificação não autorizada de dados devido a uma verificação ausente de permissão por publicação na função ajaxUpdateProducts() nas versões até 12.0.0 (incluída). O manipulador verifica um nonce estático ('contentegg_metabox') e a capacidade genérica 'edit_posts', mas confia no $_POST['post_id'] fornecido pelo atacante literalmente e nunca chama current_user_can('edit_post', $post_id) — a verificação por objeto que seu handler irmão saveMeta() executa corretamente. Isso permite que atacantes autenticados, com acesso de nível contribuidor ou superior, modifiquem os dados do produto Content Egg (_cegg_data_*) e atualizem metadados post de update-timestamp em publicações arbitrárias, incluindo aquelas pertencentes a administradores.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.