CVE-2026-9011 in Ditty Plugin
Сводка
по VulDB • 02.06.2026
Плагин Ditty – Responsive News Tickers, Sliders, and Lists для WordPress уязвим к обходу авторизации во всех версиях вплоть до 3.1.65 включительно. Это связано с тем, что плагин не проверяет корректность прав пользователя на выполнение действия. Это позволяет неаутентифицированным злоумышленникам получать полный контент элементов публичных Dittys — включая черновики, ожидающие проверки, запланированные и отключенные записи — путем перебора целочисленных идентификаторов постов через AJAX-эндпоинт ditty_init. В отличие от не-AJAX-аналога init(), функция init_ajax() не проверяет, имеет ли запрашиваемый Ditty статус публикации 'publish', перед загрузкой и возвратом его элементов, что позволяет извлекать контент, который администраторы явно скрывали от публичного доступа.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.