AutomatorWP <=5.8.4 认证用户越权敏感信息泄露漏洞 (CVE-2026-76057)

漏洞概述 漏洞名称: AutomatorWP <= 5.8.4 - Missing Authorization to Authenticated (Subscriber+) Sensitive Information Disclosure via automatorwp_convertkit_get_forms AJAX Action CVE ID: CVE-2026-76057 CVSS评分: 4.3 (Medium) 发布日期: August 21, 2026 最后更新日期: August 22, 2026 研究人员: Wordfence PRISM - Wordfence 影响范围 软件类型: Plugin 软件名称: AutomatorWP 受影响版本: <= 5.8.4 修复版本: 5.8.5 修复方案 修复建议: 更新到版本 5.8.5 或更新的已修复版本。 漏洞描述 AutomatorWP 是一个用于无代码自动化、webhooks 和自定义集成的 WordPress 插件。该漏洞允许经过身份验证的用户（订阅者及以上级别）通过 AJAX 动作获取所有 ConvertKit 表单数据，这些数据本应仅对网站管理员账户可见。问题在于插件未正确验证用户是否有权执行此操作，导致敏感信息泄露。 参考链接 plugins.trac.wordpress.org 其他信息 Wordfence Intelligence: 提供免费的个人和商业 API 访问，用于 WordPress 漏洞数据库。 支持: 提供 24 小时支持，全年无休，响应时间为 1 小时。 相关漏洞 最近发现的 AutomatorWP 插件中的其他漏洞包括： - CVE-2026-76074: Missing Authorization to Authenticated (Subscriber+) Sensitive Information Disclosure via automatorwp_campaign_monitor_get_lists AJAX Action - CVE-2026-42775: Unauthenticated Stored Cross-Site Scripting - CVE-2026-42650: Unauthenticated Stored Cross-Site Scripting - CVE-2026-40785: Missing Authorization - CVE-2025-9539: Missing Authorization To Authenticated (Subscriber+) Remote Code Execution via Automation Creation - CVE-2025-9542: Authenticated (Subscriber+) Missing Authorization to Multiple Functions - CVE-2025-66561: Authenticated (Administrator+) SQL Injection - CVE-2025-5487: Authenticated (Administrator+) SQL Injection via field_conditions - CVE-2025-48280: Authenticated (Administrator+) SQL Injection - CVE-2024-12626: Reflected Cross-Site Scripting via a-o-search_field_value 总结 AutomatorWP 插件在版本 5.8.4 及之前存在一个中等严重性的漏洞，允许经过身份验证的用户获取敏感信息。建议用户尽快更新到版本 5.8.5 或更高版本以修复此漏洞。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

AutomatorWP <=5.8.4 认证用户越权敏感信息泄露漏洞 (CVE-2026-76057)

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

AutomatorWP <=5.8.4 认证用户越权敏感信息泄露漏洞 (CVE-2026-76057)

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！