Fiber Admin < 4.0.1 - Unauthenticated Arbitrary Post and Term Order Modification via fiad_cpo_update and fiad_cpo_tax_update

Özet

Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.

The Fiber Admin WordPress plugin before 4.0.1 does not have authorisation checks in some of its AJAX actions, allowing unauthenticated users to change the order of arbitrary posts, including drafts, private posts and navigation menu items, as well as the order of taxonomy terms when term ordering is enabled.

Etkilenen sürümler1 yazılım

Kaynaklar3 kaynak

• CVE.org kaydı
• NVD kaydı
• wpscan.com/…erability/d6ee9d6f-ab77-4bf3-98f5-b7c5899aa8bb İstismar kodu ya da analiz

Kayıt geçmişi

1. 7 Kas 2026 21:20CVSS puanı değişti: – → 5.3
2. 7 Kas 2026 09:00Yayımlandı

İlgili açıklar

• 9,0 CVE-2026-121491Fiber Admin WordPress eklentisinde Host başlığı üzerinden kimlik doğrulamasız uzaktan kod çalıştırma
• 5,3 CVE-2026-119522WordPress User Registration plugin <= 5.3.1 - Broken Access Control vulnerability
• 5,3 CVE-2026-123461WordPress FOX plugin <= 1.5.6 - Broken Access Control vulnerability
• 6,5 CVE-2026-120836WordPress Meta Box – WordPress Custom Fields Framework plugin <= 5.15.3 - Broken Access Control vulnerability
• 5,3 CVE-2026-124258WordPress User Registration plugin <= 5.3.1 - Broken Access Control vulnerability
• 4,3 CVE-2026-124316Frappe ERPNext before 15.121.4 and 16.36.0 Missing Authorization via get_linked_material_requests