CVE-2026-75017

Nome do Software Vulnerável e Versões Afetadas The Magazine Blocks – Blog Designer, Magazine & Newspaper Website Builder, Page Builder with Posts Blocks, Post Grid plugin for WordPress versões anteriores a 1.8.7

Description Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes autenticados com nível de acesso de contribuidor ou superior podem rebaixar templates de construtor publicados — incluindo cabeçalho, rodapé, página inicial, página única, arquivo, 404 e pesquisa — para o status de rascunho. Eles podem então substituir esses templates por conteúdo de bloco malicioso renderizado em todo o site, permitindo a desfiguração (defacement), phishing e spam de SEO. Isso ocorre porque o tipo de post mzb-builder-template é registrado com capability type='post' e exposto via REST API, enquanto a chave meta mzb template é acessível a qualquer usuário com a capacidade edit posts, permitindo que eles acionem a função save post() vulnerável.

Recommendations Atualize o plugin para uma versão posterior a 1.8.6.