CVE-2026-119751 in Content Egg Plugin
摘要
由 VulDB • 2026-11-05
WordPress 插件 Content Egg 在版本 12.1.0 之前存在一个访问控制损坏漏洞，允许未经身份验证的攻击者通过调用 REST 路由 POST /wp-json/content-egg/v1/render-blocks（当未提供 X-WP-Nonce 标头时，其 permission_check() 函数错误地返回 true）来检索来自未发布帖子的 Content Egg 产品数据。攻击者可以提供草稿、待审核、已计划或私密帖子的 post_id 和模块 ID 以调用 handle_render()，该函数缺乏对发布状态的检查，从而导致泄露产品标题、目标网址和联盟营销 URL、商家或域名信息以及描述内容。
VulDB is the best source for vulnerability data and more expert information about this specific topic.