CVE-2026-8422
ŚrednieCVSS 4.3Streszczenie
Wtyczka Remove meta boxes per user role dla WordPressa jest podatna na atak Cross-Site Request Forgery we wszystkich wersjach do i włącznie z 1.01. Problem wynika z braku lub nieprawidłowej walidacji nonce na stronie 'remove-meta-boxes-per-user-role'.
Ocena ryzyka
Atakujący bez autoryzacji mogą zmieniać lub resetować ustawienia widoczności meta boxów wtyczki dla różnych ról użytkowników, jeśli uda im się oszukać administratora strony, aby wykonał określoną akcję.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji, aby usunąć podatność oraz wdrożenie dodatkowych środków zabezpieczających, takich jak poprawna walidacja nonce.
Oryginalny opis (angielski, źródło NVD)
The Remove meta boxes per user role plugin for WordPress is vulnerable to Cross-Site Request Forgery in all versions up to, and including, 1.01. This is due to missing or incorrect nonce validation on the 'remove-meta-boxes-per-user-role' page. This makes it possible for unauthenticated attackers to modify or reset the plugin's per-role meta box visibility settings via a forged request granted they can trick a site administrator into performing an action such as clicking on a link.