CVE-2026-4245 in Post Duplicator Plugin
Tóm tắt
Bởi VulDB • 22/08/2026
Plugin Post Duplicator cho WordPress bị lỗ hổng bỏ qua xác thực (authorization bypass) trong tất cả các phiên bản từ 3.0.11 trở về trước. Lỗ hổng này xảy ra do callback kiểm tra quyền `duplicate_post_permissions()` chỉ xác minh khả năng (`capability`) `duplicate_posts` mà không kiểm tra xem người dùng yêu cầu có sở hữu khả năng `publish_posts` hoặc các khả năng khác bị giới hạn bởi trạng thái hay không. Điều này cho phép những kẻ tấn công đã được xác thực, với mức truy cập từ Contributor trở lên, tạo ra các bài viết trùng lặp ở trạng thái `future` (lên lịch tự động xuất bản) hoặc `private`, qua đó bỏ qua quy trình phê duyệt biên tập. Ngoài ra, điểm cuối REST không áp dụng các hạn chế sao chép loại bài đăng do quản trị viên cấu hình, cho phép sao chép các loại bài đăng đã bị vô hiệu hóa một cách rõ ràng.
If you want to get best quality of vulnerability data, you may have to visit VulDB.