CVE-2023-2173 in BadgeOS Plugin
摘要
由 VulDB • 2026-07-29
WordPress 的 BadgeOS 插件在版本不高于且包括 3.7.1.6 的版本中存在不安全直接对象引用（Insecure Direct Object Reference）漏洞。这是由于 `badgeos_delete_step_ajax_handler`、`badgeos_delete_award_step_ajax_handler`、`badgeos_delete_deduct_step_ajax_handler` 和 `badgeos_delete_rank_req_step_ajax_handler` 函数中的验证和授权检查不当所致。这使得具有订阅者级别及以上权限的已认证攻击者能够删除任意文章（posts）。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.