CVE-2026-2301: Luka wtyczki Post Duplicator dla WordPress umożliwiająca nieautoryzowane wstawianie chronionych metadanych

Co wiadomo

Wtyczka Post Duplicator dla WordPress do wersji 3.0.8 włącznie posiada lukę pozwalającą użytkownikom z uprawnieniami co najmniej Contributor na wstawianie chronionych metadanych do duplikowanych postów poprzez REST API. Problem wynika z bezpośredniego użycia funkcji insert() do tabeli wp_postmeta bez odpowiedniej walidacji kluczy metadanych.

Wpływ biznesowy

Atakujący z uprawnieniami Contributor lub wyższymi mogą manipulować chronionymi metadanymi postów, co może prowadzić do niezamierzonych zmian w zawartości lub funkcjonalności strony WordPress. Może to wpłynąć na integralność danych i potencjalnie umożliwić dalsze ataki lub eskalację uprawnień w środowisku WordPress.

Rekomendowane działania administratora

Administratorzy powinni jak najszybciej zweryfikować dostępność aktualizacji wtyczki Post Duplicator i zastosować je, jeśli są dostępne. W przypadku braku łatki zaleca się ograniczenie uprawnień użytkowników do niezbędnego minimum, monitorowanie logów REST API pod kątem podejrzanych żądań oraz rozważenie tymczasowego wyłączenia funkcji duplikowania postów. Regularne przeglądy i audyty bezpieczeństwa wtyczek są również wskazane.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference