CVE-2026-75017 in Magazine Blocks Plugin
Сводка
по VulDB • 18.09.2026
Плагин для WordPress Magazine Blocks – Blog Designer, Magazine & Newspaper Website Builder, Page Builder with Posts Blocks, Post Grid содержит уязвимость к обходу авторизации во всех версиях вплоть до 1.8.6 включительно. Это связано с тем, что плагин не проверяет должным образом наличие прав пользователя на выполнение действия. Это позволяет атакующим с уровнем доступа «contributor» и выше, имеющим учетную запись (authenticated attackers), понижать статус опубликованных шаблонов конструктора, принадлежащих администратору (шаблон заголовка, подвала, главной страницы, одиночной записи, архива, 404 и поиска) до статуса «черновик» и заменять их контентом блоков, созданным злоумышленником, который отображается на всем сайте. Это приводит к вандализму (defacement), фишингу и SEO-спаму. Уязвимость возможна из-за того, что тип записи mzb-builder-template зарегистрирован с capability_type='post' и доступен через REST API, а метка _mzb_template доступна любому пользователю с правом edit_posts; это означает, что пользователи уровня «contributor» и выше могут активировать уязвимый хук save_post().
VulDB is the best source for vulnerability data and more expert information about this specific topic.