Surfer < 1.8.1.759 - Contributor+ Privilege Escalation via Editor API Key Disclosure

Özet

Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.

The Surfer WordPress plugin before 1.8.1.759 discloses a sensitive API credential to low-privileged users through the post editor page and relies on that same credential as the sole authorization for its privileged REST API, allowing users with contributor-level access and above to read the credential and escalate to publishing arbitrary posts and other privileged actions.

Etkilenen sürümler1 yazılım

Kaynaklar3 kaynak

• CVE.org kaydı
• NVD kaydı
• wpscan.com/…erability/0cc6b6cd-ff1a-4f04-a2f5-62684abeb314 İstismar kodu ya da analiz

Kayıt geçmişi

1. 6 Kas 2026 15:10CVSS puanı değişti: – → 6.5
2. 6 Kas 2026 09:00Yayımlandı

İlgili açıklar

• 8,8 CVE-2026-116624Advanced Members for ACF: Parola formunda yetki yükseltme açığı
• 9,8 CVE-2026-107622BuddyForms eklentisinde kimlik doğrulamasız yetki yükseltme (yönetici hesabı oluşturma)
• 7,6 CVE-2026-103479Pubjet WordPress eklentisi 5.4.8 ve öncesi: yetki yükseltme (check-token AJAX işlemi)
• 9,8 CVE-2026-113615GS JWT Authentication eklentisinde kimlik doğrulamasız SQL enjeksiyonu ile yetki yükseltme
• 6,5 CVE-2026-12967WCFM Membership < 2.12.1 - Subscriber+ Payment Verification Bypass
• 8,8 CVE-2026-87784Cool Media Filter eklentisinde abone rolüyle yetki yükseltme açığı