CVE-2026-75017 in Magazine Blocks Plugin
Sumário
de VulDB • 18/09/2026
O plugin Magazine Blocks – Blog Designer, Magazine & Newspaper Website Builder, Page Builder with Posts Blocks, Post Grid para WordPress é vulnerável a bypass de autorização em todas as versões até 1.8.6 (incluindo). Isso ocorre porque o plugin não verifica corretamente se um usuário está autorizado a realizar uma ação. Isso permite que atacantes autenticados com acesso nível contribuidor ou superior rebaitem templates do builder publicados, pertencentes ao administrador (cabeçalho, rodapé, página inicial, single, arquivo, 404 e busca) para o status de rascunho e os substituam por conteúdo em blocos criado pelo atacante, renderizado em todo o site, permitindo defacement, phishing e spam de SEO. Isso é possível porque o post type mzb-builder-template está registrado com capability_type='post' e exposto via REST API, e a meta key _mzb_template é acessível para qualquer usuário com capacidade edit_posts, significando que usuários nível contribuidor ou superior podem acionar o hook save_post() vulnerável.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.