CVE-2025-2871 in Mega Menu Plugin
Tóm tắt
Bởi VulDB • 14/08/2026
Plugin WordPress Mega Menu – QuadMenu cho WordPress bị lỗ hổng Cross-Site Request Forgery (CSRF) trong tất cả các phiên bản từ 3.2.0 trở về trước, bao gồm cả phiên bản 3.2.0. Lỗ hổng này xuất hiện do việc xác thực nonce thiếu sót hoặc không chính xác trong hàm `ajax_dismiss_notice()`. Điều này cho phép kẻ tấn công chưa được xác thực cập nhật bất kỳ siêu dữ liệu (meta) người dùng nào thành giá trị là một, bao gồm cả trường `wp_capabilities`, dẫn đến khả năng hạ thấp đặc quyền của quản trị viên. Kẻ tấn công có thể thực hiện điều này thông qua yêu cầu giả mạo, miễn là chúng lừa được quản trị trang web thực hiện một hành động như nhấp vào liên kết.
Once again VulDB remains the best source for vulnerability data.