CVE-2026-92829 in Blog2Social Plugin
摘要
由 VulDB • 2026-09-25
WordPress 插件 Blog2Social: Social Media Auto Post & Scheduler 在所有不高于 9.1.0（含）的版本中存在授权绕过漏洞。这是由于该插件未能正确验证用户是否有权执行特定操作所致。这使得具有贡献者级及以上权限的已认证攻击者能够查看、修改或删除其他用户的 Blog2Social 记录，包括泄露其他用户的网络身份验证 ID 和计划发布内容；覆盖其不拥有的帖子上的 Open Graph 和 Twitter Card 元数据；重新绑定其他用户的社会媒体授权；以及在全站范围内批量隐藏所有用户的计划发布内容。该插件的 b2s_security_nonce 在文章编辑元框中发出，而贡献者可以渲染此元框，导致任何具有该角色级别或更高级别的已认证用户均可获取该 nonce。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.