CVE-2026-111625mediumCWE-862

CVE-2026-111625: falha de média gravidade em 10up Distributor

10up Distributor before 2.3.2 Missing Authorization via dt_push AJAX Action

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar Distributor

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 5.3epss 0.2%
10up Distributor before 2.3.2 contains a missing authorization vulnerability in ajax_push() that allows Contributor-level multisite users to publish posts on other network sites. Attackers can use the dt-push nonce with a chosen connection id and postStatus to create draft or published posts on sites they cannot access.
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:L/SA:N
Produtos afetados
10up · Distributor
CVEs relacionadas — 10up Distributor

No mesmo produto, das mais perigosas para as menos.

CVE-2026-111628LOW10up Distributor before 2.3.2 PHP Object Injection via set_meta()EPSS 0.3%CVE-2026-111631MEDIUMDistributor before 2.3.2 Missing Authorization in External Connection AJAX ActionsEPSS 0.2%