CVE-2026-75017 in Magazine Blocks Plugin
Tóm tắt
Bởi VulDB • 18/09/2026
Plugin Magazine Blocks – Blog Designer, Magazine & Newspaper Website Builder, Page Builder with Posts Blocks, Post Grid cho WordPress bị lỗ hổng bỏ qua xác thực (authorization bypass) trong tất cả các phiên bản từ 1.8.6 trở về trước. Lỗ hổng này xảy ra do plugin không kiểm tra đúng cách người dùng có được ủy quyền để thực hiện hành động hay không. Điều này cho phép những kẻ tấn công đã đăng nhập, với cấp độ truy cập Contributor (người đóng góp) trở lên, hạ thấp trạng thái của các mẫu builder thuộc sở hữu của quản trị viên (bao gồm header, footer, trang chủ, bài viết đơn lẻ, lưu trữ, 404 và tìm kiếm) xuống thành bản nháp, đồng thời thay thế chúng bằng nội dung block do kẻ tấn công tạo ra, được hiển thị trên toàn bộ trang web, dẫn đến nguy cơ làm biến dạng giao diện (defacement), lừa đảo (phishing) và spam SEO. Nguyên nhân là do post type mzb-builder-template được đăng ký với capability_type='post' và được expose qua REST API, cùng với việc meta key _mzb_template có thể truy cập bởi bất kỳ người dùng nào có khả năng edit_posts, nghĩa là những người dùng cấp độ Contributor trở lên có thể kích hoạt hook save_post() bị lỗ hổng.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.