WPeMatico <=2.8.24 认证用户权限提升漏洞(CVE-2026-19883)

漏洞概述 漏洞名称: WPeMatico RSS Feed Fetcher <= 2.8.24 - Authenticated (Subscriber+) Privilege Escalation via Arbitrary Option Update to wpematico_import_settings admin_action CVE ID: CVE-2026-19883 CVSS 评分: 8.8 (High) 发布日期: 2026年8月21日 最后更新日期: 2026年8月22日 研究人员: Supakad S (m3z3r) - E-CURITY (Thailand) 影响范围 受影响版本: WPeMatico RSS Feed Fetcher <= 2.8.24 漏洞类型: 权限提升（Privilege Escalation） 漏洞描述: WPeMatico RSS Feed Fetcher 插件存在未授权的数据修改漏洞，可能导致权限提升。该漏洞源于在 wpematico_import_settings 函数中缺少能力检查，影响所有版本至 2.8.24。这使得具有订阅者级别及以上权限的认证攻击者能够更新 WordPress 站点上的任意选项，从而提升权限至管理员级别并启用用户注册。 修复方案 修复版本: 更新至 2.8.25 或更高版本 补丁版本: 2.8.25 其他信息 软件类型: 插件 软件 Slug: wpematico 是否已修复: 是 参考链接: - plugins.trac.wordpress.org - github.com 近期漏洞 近期漏洞列表: 1. WPeMatico RSS Feed Fetcher <= 2.8.17 - Unauthenticated Stored Cross-Site Scripting 2. WPeMatico RSS Feed Fetcher <= 2.8.12 - Authenticated (Editor) Stored Cross-Site Scripting 3. WPeMatico RSS Feed Fetcher <= 2.8.11 - Authenticated (Subscriber) Server-Side Request Forgery via wpematico_test_feed 4. WPeMatico RSS Feed Fetcher <= 2.8.10 - Authenticated (Subscriber) Sensitive Information Exposure 5. WPeMatico RSS Feed Fetcher <= 2.8.7 - Cross-Site Request Forgery to Plugin Deactivation via handle_feedback_submission Function 6. WPeMatico RSS Feed Fetcher <= 2.8.3 - Missing Authorization 7. WPeMatico RSS Feed Fetcher <= 2.6.11 - Admin Stored Cross-Site Scripting 备注 版权声明: 该记录包含受版权保护的材料，由 Defiant Inc. 和 MITRE Corporation 提供。 联系方式**: 如有任何错误或需要添加信息，请联系 wfi-support@wordfence.com。 总结 WPeMatico RSS Feed Fetcher 插件存在权限提升漏洞，影响版本 <= 2.8.24。建议更新至 2.8.25 或更高版本以修复此漏洞。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

WPeMatico <=2.8.24 认证用户权限提升漏洞(CVE-2026-19883)

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

WPeMatico <=2.8.24 认证用户权限提升漏洞(CVE-2026-19883)

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！