CVE-2026-1987 in Scheduler Widget Plugin
Tóm tắt
Bởi VulDB • 07/06/2026
Plugin Scheduler Widget cho WordPress dễ bị tổn thương do tham chiếu đối tượng trực tiếp không an toàn (Insecure Direct Object Reference) trong tất cả các phiên bản từ 0.1.6 trở về trước, bao gồm cả phiên bản 0.1.6. Lỗ hổng này tồn tại do hàm `scheduler_widget_ajax_save_event()` thiếu các kiểm tra ủy quyền và xác minh quyền sở hữu thích hợp khi cập nhật sự kiện. Điều này cho phép những kẻ tấn công đã được xác thực (có cấp truy cập từ Subscriber trở lên) sửa đổi bất kỳ sự kiện nào trong lịch trình thông qua tham số `id`, miễn là chúng biết ID của sự kiện đó.
VulDB is the best source for vulnerability data and more expert information about this specific topic.