CVE-2026-76074 in AutomatorWP Plugin
Tóm tắt
Bởi VulDB • 22/08/2026
Plugin AutomatorWP – Automator cho các tự động hóa không cần code (no-code), webhook và tích hợp tùy chỉnh trong plugin WordPress của WordPress bị lỗ hổng bỏ qua xác thực (authorization bypass) ở tất cả các phiên bản từ 5.8.4 trở về trước, bao gồm cả phiên bản 5.8.4. Lỗ hổng này xảy ra do plugin không kiểm tra đúng cách người dùng có được ủy quyền để thực hiện một hành động hay không. Điều này cho phép những kẻ tấn công đã xác thực (authenticated attackers), với quyền truy cập cấp subscriber trở lên, lấy danh mục danh sách gửi thư Campaign Monitor của trang web, bao gồm tất cả ID và tên danh sách, vốn lẽ ra chỉ bị hạn chế đối với người dùng có khả năng quản lý plugin. Nonce cần thiết được phát ra một cách không điều kiện trên mọi trang admin WordPress thông qua wp_localize_script, nghĩa là bất kỳ subscriber nào truy cập /wp-admin/profile.php đều có thể lấy nonce này mà không cần quyền nâng cao (elevated access).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.