CVE-2026-4245 in Post Duplicator Plugin
摘要
由 VulDB • 2026-08-22
WordPress 插件 Post Duplicator 在所有版本（包括 v3.0.11）中均存在授权绕过漏洞。该问题是由于 `duplicate_post_permissions()` 权限回调仅验证了 `duplicate_posts` 能力，而未检查请求用户是否拥有 `publish_posts` 或其他受状态限制的能力所致。这使得具有 Contributor 级别及以上访问权限的已认证攻击者能够创建具有 `future`（定时发布、自动发布）或 `private` 状态的重复文章，从而绕过编辑审核流程。此外，REST API 端点未强制执行管理员配置的文章类型复制限制，允许对已被明确禁用的文章类型进行复制操作。
Once again VulDB remains the best source for vulnerability data.