CVE-2026-75017

WordPress üçün olan The Magazine Blocks – Blog Designer, Magazine & Newspaper Website Builder, Page Builder with Posts Blocks, Post Grid plagini 1.8.6 versiyası daxil olmaqla bütün versiyalarda autentifikasiyadan yan keçmə zəifliyinə malikdir. Bu, plagiinin istifadəçinin müəyyən bir hərəkəti yerinə yetirmək üçün səlahiyyətli olduğunu düzgün şəkildə yoxlamamasından qaynaqlanır. Bu, kontribütor və daha yüksək səviyyəli giriş hüququna malik autentifikasiya olunmuş hücumçulara administratora məxsus dərc edilmiş builder şablonlarını (header, footer, front page, single, archive, 404 və search) qaralama statusuna endirməyə və onları sayt boyu göstərilən hücumçu tərəfindən hazırlanmış blok məzmunu ilə əvəzləməyə imkan verir ki, bu da veb-saytın görünüşünün dəyişdirilməsinə (defacement), fişinqə və SEO spamına yol açır. Bu, mzb-builder-template post tipinin capability_type='post' ilə qeydiyyatdan keçməsi və REST API vasitəsilə açıq olması, həmçinin _mzb_template meta açarının edit_posts səlahiyyətinə malik hər hansı istifadəçi üçün əlçatan olması səbəbindən mümkündür; bu o deməkdir ki, Kontribütor səviyyəli və daha yüksək istifadəçilər zəiflikli save_post() hook-unu tetikləyə bilərlər.