CVE-2026-75017

WordPress için geliştirilen The Magazine Blocks – Blog Designer, Magazine & Newspaper Website Builder, Page Builder with Posts Blocks, Post Grid eklentisi, 1.8.6 sürümü dahil olmak üzere tüm sürümlerde kimlik doğrulama atlatma zafiyetine sahiptir. Bu durum, eklentinin bir kullanıcının belirli bir işlemi gerçekleştirmek için yetkili olup olmadığını düzgün şekilde doğrulamamasından kaynaklanmaktadır. Bu durum; katkıda bulunan (contributor) ve üzeri erişime sahip kimliği doğrulanmış saldırganların, yöneticiye ait yayınlanmış oluşturucu şablonlarını (üst bilgi, alt bilgi, ana sayfa, tekil, arşiv, 404 ve arama) taslak durumuna düşürmelerine ve bunları site genelinde görüntülenen, saldırgan tarafından oluşturulmuş blok içeriğiyle değiştirmelerine olanak tanıyarak sayfa tahrifatı (defacement), oltalama (phishing) ve SEO spam yapılmasına imkan verir. Bu durum, mzb-builder-template yazı türünün capability_type='post' ile kaydedilmesi ve REST API üzerinden açığa çıkmasıyla birlikte, _mzb_template meta anahtarının edit_posts yetkisine sahip herhangi bir kullanıcı tarafından erişilebilir olması nedeniyle mümkündür; bu da Katkıda Bulunan seviyesindeki kullanıcıların ve üzerindekilerin savunmasız save_post() kancasını tetikleyebileceği anlamına gelir.