CVE-2026-119702
Mở trang đầy đủCVSS 6.5 MEDIUM Truy cập trái phép
WPGraphQL before 2.24.1 Missing Authorization via createComment Mutation
Mô tả
WPGraphQL before 2.24.1 contains a missing authorization vulnerability in the createComment mutation that allows unauthenticated attackers to comment on non-public posts by bypassing post status checks. Attackers can attach comments to draft, private, trashed, or password-protected posts to leak hidden titles via moderator notifications, enumerate post IDs, and backdate comments or mark them as pingbacks.
Điểm và phân loại
- CVSS
- 6.5 MEDIUM v3.1
- Nguồn điểm
- NVD
- Mức độ (theo nguồn)
- MEDIUM
- EPSS
- —
- CWE
- CWE-862
Vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
Ảnh hưởng
Sản phẩm
- WPGraphQL WPGraphQL
Vì sao bị lọc
- CVSS 6.5 < 8.0 và không thuộc CISA KEV
Loại tác động
- Truy cập trái phép
- CWE-862; từ khoá "missing authorization"
Dữ liệu riêng của nguồn
- CVE.org · Đơn vị cấp mã
- VulnCheck
- CVE.org · SSVC
- Tự động hoá được: yes · Khai thác: none · Tác động kỹ thuật: partial
Tham khảo
- https://github.com/wp-graphql/wp-graphql
- https://github.com/wp-graphql/wp-graphql/blob/wp-graphql/v2.24.0/plugins/wp-graphql/src/Mutation/CommentCreate.php
- https://github.com/wp-graphql/wp-graphql/commit/b9da32bd8e6025e19a9b04acaa129978eba71177
- https://github.com/wp-graphql/wp-graphql/releases/tag/wp-graphql%2Fv2.24.1
- https://github.com/wp-graphql/wp-graphql/security/advisories/GHSA-4vgv-vvxr-9fh9
- https://www.vulncheck.com/advisories/wpgraphql-before-2.24.1-missing-authorization-via-createcomment-mutation