Rank Math SEO < 1.0.277 - Author+ Robots and Pillar Content Meta Update on Non-Owned Objects via mark_page_as

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (WPScan). Не зависят от анализа CPE в NVD и обычно опережают его.

• Unknown Rank Math SEO

  • до 1.0.277затронута · semver

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2026-77782Rank Math SEO < 1.0.277.1 - Unauthenticated Password-Protected Post Content Disclosure via Post Metadata and llms.txt
  21Наблюдать
• CVE-2026-77788Rank Math SEO < 1.0.277 - Author+ Arbitrary Post and User Metadata Overwrite via updateSchemas
  19Наблюдать
• CVE-2026-77786Rank Math SEO < 1.0.277 - Editor+ Core Settings Modification via fix-site-seo Ability
  19Наблюдать
• CVE-2026-77783Rank Math SEO < 1.0.277 - Unauthenticated Non-Public Post Schema and Content Disclosure
  14Наблюдать
• CVE-2026-77787Rank Math SEO < 1.0.277 - Author+ Term Metadata Update and Cross-Object Post Title Overwrite via updateMetaBulk
  10Наблюдать
• CVE-2026-77785Rank Math SEO < 1.0.277 - Author+ Non-Public Post Content Disclosure via Abilities API
  10Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.