CVE-2026-107907
Beschrijving NL
De MAS Videos WordPress-plug-in via 1.3.4 voert geen mogelijkheid- of eigendomscontrole uit bij het verwerken van de front-end video- en afspeellijstverzoeken, en de nonce die het verifieert is alleen gekoppeld aan een statische actie in plaats van aan het beoogde object, waardoor elke geverifieerde gebruiker met een minimale rol permanent willekeurige berichten, pagina's, bijlagen en andere inhoud van andere gebruikers kan verwijderen.
Origineel (Engels) tonen
The MAS Videos WordPress plugin through 1.3.4 does not perform any capability or ownership check when handling its front-end video and playlist deletion requests, and the nonce it verifies is tied only to a static action rather than to the targeted object, allowing any authenticated user with a minimal role to permanently delete arbitrary posts, pages, attachments and other content belonging to other users.