CVE-2026-111961

NiskieCVSS 3.8

Opublikowano: 28/10/2026(UTC)Zaktualizowano: 28/10/2026(UTC)Przetłumaczono: 28/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress Royal MCP przed wersją 1.5.10 nie wykonuje sprawdzenia uprawnień na poziomie obiektu przed duplikowaniem żądanej strony, opierając się na ogólnym uprawnieniu. Umożliwia to użytkownikom z poziomem dostępu Contributor odczytanie pełnej treści dowolnej prywatnej lub roboczej strony oraz jej opublikowanie bez posiadania uprawnienia do publikacji.

Ocena ryzyka

Użytkownik z niskimi uprawnieniami może ujawnić poufne treści prywatnych lub roboczych stron i opublikować je bez autoryzacji.

Rekomendacja

Zaktualizuj wtyczkę Royal MCP do wersji 1.5.10 lub nowszej.

Inne podatności w Royal MCP WordPress plugin

CVE-2026-111960Średnie
Wtyczka WordPress Royal MCP przed wersją 1.5.10 nie wykonuje sprawdzeń autoryzacji na poziomie obiektu ani typu wpisu w jednym ze swoich narzędzi wyszukiwania. Umożliwia to uwierzytelnionym użytkownikom, takim jak subskrybent, ujawnienie tytułu i treści niepublicznych wpisów, w tym danych osobowych przechowywanych przez towarzyszącą wtyczkę Royal MCP przed wersją 1.5.10.

Oryginalny opis (angielski, źródło NVD)

The Royal MCP WordPress plugin before 1.5.10 does not perform an object-level permission check before duplicating a requested page, relying on a generic capability, which allows users with contributor-level access to read the full content of any private or draft page and to publish it without holding the publish capability.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS