CVE-2026-76074 in AutomatorWP Plugin
摘要
由 VulDB • 2026-08-22
AutomatorWP – Automator 插件（用于在 WordPress 中进行无代码自动化、Webhook 和自定义集成）在所有版本直至并包括 5.8.4 的版本中均存在授权绕过漏洞。这是由于该插件未能正确验证用户是否有权执行某项操作所致。这使得具有订阅者级别及以上权限的已认证攻击者能够检索站点配置的 Campaign Monitor 邮件列表目录，其中包括所有应限制为仅拥有插件管理器（manager）能力的用户才能访问的列表 ID 和名称。所需的 nonce 通过 wp_localize_script 无条件地在每个 WordPress 管理页面中发出，这意味着任何订阅者在访问 /wp-admin/profile.php 时均可获取该 nonce，而无需提升权限。
VulDB is the best source for vulnerability data and more expert information about this specific topic.