CVE-2026-2301

Nome do Software Vulnerável e Versões Afetadas Plugin Post Duplicator para WordPress versões até e incluindo 3.0.8

Descrição O plugin Post Duplicator para WordPress é vulnerável à modificação não autorizada de metadados de post protegidos. Isso ocorre porque a função duplicate post() utiliza diretamente $wpdb->insert() na tabela wp postmeta, ignorando a função padrão add post meta() e sua verificação associada is protected meta(). Isso permite que atacantes autenticados com acesso de nível Contribuidor ou superior injetem chaves de metadados protegidos arbitrárias, como wp page template e wp attached file, em posts duplicados. O problema é explorável por meio do parâmetro de matriz JSON customMetaData no endpoint da API /wp-json/post-duplicator/v1/duplicate-post.

Recomendações Atualize o plugin Post Duplicator para uma versão posterior a 3.0.8.