Solace Extra <= 1.5.3 Pre-Auth Arbitrary Content Deletion via AJAX (CVE-2026-13250)

漏洞概述 漏洞名称: Solace Extra <= 15.3 - Missing Authorization to Unauthenticated Arbitrary Content Deletion via delete_previously_imported AJAX Action CVE ID: CVE-2026-13250 CVSS 评分: 5.3 (Medium) 发布日期: 2026年7月10日 最后更新: 2026年7月11日 研究人员: Osvaldo Noe Gonzalez Del Rio (kri-dev) 影响范围 软件类型: 插件 软件名称: solace-extra 受影响版本: <= 1.5.3 修复版本: 1.6.0 修复方案 修复措施: 升级到版本 1.6.0 或更高版本。 漏洞描述 Solace Extra 插件存在授权绕过漏洞，允许未授权用户永久删除通过 Starter Template 功能导入的所有内容（包括帖子、页面、媒体附件、WooCommerce 产品、分类法术语和站点构建器模板）。该漏洞发生在 钩子中，该钩子被附加到 ，但没有页面守卫，意味着任何订阅者访问 都可以获取处理程序，并通过 使其对完全未认证的用户也可用。 参考链接 plugins.trac.wordpress.org 其他信息 免责声明: 该记录包含受版权保护的材料，版权归 Defiant Inc. 和 The MITRE Corporation 所有。 联系方式: 如有任何错误或需要添加信息，请联系 wfi-support@wordfence.com。 近期漏洞 Solace Extra <= 1.3.2 - Authenticated (Admin+) Server-Side Request Forgery - CVE ID: CVE-2025-58203 - CVSS 评分: 6.4 - 研究人员: Que Thanh Tuan - Blue Rock - 发布日期: 2025年8月27日 Solace Extra <= 1.3.1 - Authenticated (Subscriber) Server-Side Request Forgery - CVE ID: CVE-2025-47464 - CVSS 评分: 6.4 - 研究人员: stealthcopter - 发布日期: 2025年5月7日 Solace Extra <= 1.3.1 - Authenticated (Subscriber) Arbitrary File Upload - CVE ID: CVE-2025-22652 - CVSS 评分: 8.8 - 研究人员: thevipr17y - 发布日期: 2025年4月10日 Solace Extra <= 1.3.0 - Authenticated (Subscriber) Arbitrary File Upload - CVE ID: CVE-2025-22652 - CVSS 评分: 8.8 - 研究人员: thevipr17y - 发布日期: 2025年3月6日 总结 Solace Extra 插件存在多个安全漏洞，包括未授权的内容删除、服务器端请求伪造和任意文件上传。建议用户尽快升级到最新版本以修复这些漏洞。

目標達成すべての支援者に感謝 — 100%達成しました！

Solace Extra <= 1.5.3 Pre-Auth Arbitrary Content Deletion via AJAX (CVE-2026-13250)

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Solace Extra <= 1.5.3 Pre-Auth Arbitrary Content Deletion via AJAX (CVE-2026-13250)

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！