CVE-2026-19598

🚨 CVE-2026-19598 (https://plugins.trac.wordpress.org/browser/pods/tags/3.3.9/includes/general.php#L400) Le plugin Pods – Custom Content Types and Fields pour WordPress est vulnérable à une élévation de privilèges via un contournement d'autorisation dans toutes les versions jusqu'à la 3.3.9 incluse. La vulnérabilité existe parce que le routeur AJAX pods_admin achemine chaque contrôle d'accès — y compris la liste blanche des méthodes, la vérification du nonce, l'application de la connexion et le contrôle des capacités — via pods_error(), qui, dans le chemin de compatibilité du chargeur de méta-boîtes JSON, écrit uniquement les échecs dans le journal des erreurs PHP et renvoie false au lieu de mettre fin à la requête, rendant toutes les protections inefficaces. Cela permet à des attaquants non authentifiés d'élever leurs privilèges au rang d'Administrateur ou de remplacer le mot de passe de n'importe quel compte utilisateur, y compris celui du propriétaire du site, permettant une prise de contrôle totale du site, ou d'effectuer une autre action d'administrateur.