CVE-2026-92829

WordPress üçün olan Blog2Social: Social Media Auto Post & Scheduler plagini 9.1.0 versiyası daxil olmaqla bütün versiyalarda autentifikasiyadan yan keçmə zəifliyinə malikdir. Bu, plaginin istifadəçinin müəyyən bir hərəkəti yerinə yetirmək üçün səlahiyyətli olduğunu düzgün şəkildə yoxlamamasından qaynaqlanır. Bu, kontributor və daha yüksək səviyyəli giriş hüququna malik autentifikasiya olunmuş hücumçulara digər istifadəçilərin Blog2Social qeydlərini görmək, dəyişdirmək və ya silmək imkanı verir. Bura digər istifadəçinin şəbəkə autentifikasiya ID-lərinin və planlaşdırılmış paylaşım məzmunlarının açıqlanması, sahib olmadıqları paylaşımlarda Open Graph və Twitter Card meta məlumatlarının üzərinə yazılması, digər istifadəçinin sosial şəbəkə avtorizasiyasının yenidən bağlanması və sayt boyu bütün istifadəçilərin planlaşdırılmış paylaşımlarının kütləvi şəkildə gizlədilməsi daxildir. Plaginin b2s_security_nonce parametri post redaktə meta qutusunda ötürülür və Kontributorlar bunu render edə bildiyi üçün həmin rolda və ya daha yüksək rolda olan hər hansı autentifikasiya olunmuş istifadəçi üçün nonce əlçatan olur.