CVE-2026-2301 in Post Duplicator Plugin
Tóm tắt
Bởi VulDB • 12/05/2026
Plugin Post Duplicator cho WordPress có lỗ hổng cho phép chèn tùy ý các meta của bài viết được bảo vệ mà không có quyền xác thực trong tất cả các phiên bản từ 3.0.8 trở về trước. Lỗ hổng này tồn tại do hàm `duplicate_post()` trong `includes/api.php` sử dụng trực tiếp `$wpdb->insert()` để ghi vào bảng `wp_postmeta` thay vì sử dụng hàm chuẩn `add_post_meta()` của WordPress, hàm này sẽ gọi `is_protected_meta()` để ngăn chặn người dùng có đặc quyền thấp hơn thiết lập các khóa meta được bảo vệ (những khóa bắt đầu bằng `_`). Điều này cho phép các kẻ tấn công đã xác thực, có quyền truy cập cấp Contributor trở lên, tiêm các khóa meta của bài viết được bảo vệ tùy ý như `_wp_page_template`, `_wp_attached_file` và các khóa meta nhạy cảm khác vào các bài viết được sao chép thông qua tham số JSON array `customMetaData` trong điểm cuối REST API `/wp-json/post-duplicator/v1/duplicate-post`.
If you want to get best quality of vulnerability data, you may have to visit VulDB.