CVE-2026-121875 Escalada de privilegios en Post Duplicator por asignación de capacidades sin validar
El plugin no valida las capacidades asignadas a los roles mediante su configuración de permisos, lo que permite a un administrador del sitio en una red multisitio que no es Super Admin otorgar capacidades arbitrarias a cualquier rol, incluidas las capacidades de gestión de red reservadas al Super Admin. Corregido en la versión 3.0.18.
CVSS 3.1 · PRELIMINAR
- Probabilidad de explotación · EPSS del 09/110,1 % · percentil 2
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Post Duplicator
hasta antes de 3.0.18
Qué hacer
- Verificá si usás Post Duplicator y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
Esta vulnerabilidad todavía no tiene vector CVSS publicado.
Descripción original
The Post Duplicator WordPress plugin before 3.0.18 does not validate the capabilities assigned to roles through its permissions settings, allowing a site administrator on a multisite network who is not a Super Admin to grant any role arbitrary capabilities, including the network-management capabilities reserved to the Super Admin.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.