Jakub Herman

The Simple CAPTCHA with Cloudflare Turnstile WordPress plugin from 1.2.2 before 1.42.3 runs the shortcode parser over the whole rendered Contact Form 7 form, including the values a visitor submitted, allowing unauthenticated users to execute arbitrary shortcodes registered on the site.

The Site Reviews WordPress plugin before 8.3.0 does not prevent request data from being deserialized, and derives the key protecting that data by padding out the site's WordPress nonce key, which makes the key publicly computable on installs where that key is absent, left at its sample value, or too short to be secret. This allows unauthenticated users to inject arbitrary PHP objects on such installs. The Site Reviews WordPress plugin before 8.3.0's own code contains no chain onward from the injected object, so how far it reaches depends on the other code present on the site.

The Hustle WordPress plugin before 7.8.14.2 does not prevent shortcodes in submitted form values from being executed when it substitutes those values into the message it returns after submission, because the guard it applies can be defeated by nesting, allowing unauthenticated users to run any shortcode registered on the site.

The Contact Form 7 Captcha WordPress plugin before 0.1.9 runs the shortcode parser over the whole rendered Contact Form 7 form, including the values a visitor submitted, allowing unauthenticated users to execute arbitrary shortcodes registered on the site.

🚨 CVE-2026-80439 The Redirection for Contact Form 7 WordPress plugin from 2.2.7 before 3.2.11 does not prevent shortcodes in submitted form values from being executed when it substitutes those values into an action's settings and then processes those settings for shortcodes, allowing unauthenticated users to run any shortcode registered on the site and read its output. 🎖@cveNotify

🚨 CVE-2026-19859 The JetFormBuilder WordPress plugin before 3.6.5.2 does not sanitize a request parameter before rendering it as message content, allowing unauthenticated users to execute arbitrary shortcodes registered on the site on any page displaying a form. Escaping is applied to that content before a later shortcode-expansion pass rather than after it, so the escaping can be bypassed. 🎖@cveNotify

🚨 CVE-2026-84219 The Kirki WordPress plugin before 6.3.0 does not hold back every spelling of the HTML entities it decodes when rendering, allowing unauthenticated users to store JavaScript in a comment which then runs in the session of anyone viewing a page that displays it, including an administrator, and on every page of the site when its header or footer is built to show comments. 🎖@cveNotify

🚨 CVE-2026-80437 The Ninja Forms WordPress plugin from 3.14.10 before 3.15.2 does not prevent shortcodes in request-derived values from being executed when it substitutes them into content it later processes for shortcodes, allowing unauthenticated users to run any shortcode registered on the site. 🎖@cveNotify

🚨 CVE-2026-18480 The SureCart WordPress plugin before 4.6.3 does not ensure that the account affected by a customer update is the same account its permission check authorised, allowing users with a subscriber-level account to change another user's email address, including an administrator's, and take over that account via a password reset. It further allows an attacker-controlled customer record to be associated with an arbitrary user, and discloses customer identifiers and email addresses to any authenticated user, which together make the takeover reachable from a subscriber-level account alone. 🎖@cveNotify

🚨 CVE-2026-75793 The SureCart WordPress plugin before 4.7.0 does not consult the site's user registration setting before creating WordPress accounts, allowing unauthenticated users to create an account and receive a logged-in session even when registration is disabled. 🎖@cveNotify

🚨 CVE-2026-19858 The JetFormBuilder — Dynamic Blocks Form Builder WordPress plugin before 3.6.5.2 does not perform authorisation checks when resolving request-derived data during page rendering, allowing unauthenticated users to read arbitrary user, post and term properties and metadata, including password hashes, private and draft content, and secrets other JetFormBuilder — Dynamic Blocks Form Builder WordPress plugin before 3.6.5.2 store in metadata. 🎖@cveNotify

**Nome do Software Vulnerável e Versões Afetadas** Hummingbird Performance versões anteriores a 3.21.2 **Descrição** Em configurações de rede multisite, uma configuração de rede global não é devidamente restrita aos administradores da rede. Isso permite que um administrador de um único site na rede execute código arbitrário em toda a rede. **Recomendações** Atualize o Hummingbird Performance para a versão 3.21.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Comments WordPress plugin versões anteriores a 7.6.66 **Description** Existe um problema onde o software falha ao validar um valor usado para construir uma consulta ao banco de dados. Isso permite que usuários não autenticados realizem a injeção de SQL, permitindo a leitura de comentários que não têm permissão para acessar, como aqueles aguardando moderação, marcados como spam, excluídos ou associados a postagens privadas e rascunhos. O texto injetado é processado como gramática em vez de dados, limitando o impacto à divulgação do conteúdo dos comentários em vez de todo o banco de dados. **Recommendations** Atualize o Comments WordPress plugin para a versão 7.6.66 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** My Login WordPress plugin versões anteriores a 7.2.0 **Descrição** Em instalações multisite, o plugin não aplica as configurações de registro da rede durante o processamento de inscrições de sites. Isso permite que usuários não autenticados em certas redes e usuários com contas de assinante criem novos sites e obtenham automaticamente privilégios de administrador sobre eles. **Recomendações** Atualize o My Login WordPress plugin para a versão 7.2.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** JetBackup WordPress plugin versões anteriores a 3.1.23.5 **Description** Existe um problema onde o plugin não verifica a função ou as capacidades de uma conta preservada durante um processo de restauração ou migração antes de conceder privilégios de administrador. Isso permite que um usuário com permissões de nível de assinante eleve seus privilégios para status de administrador após o proprietário do site realizar a restauração ou migração do site. **Recommendations** Atualize o JetBackup WordPress plugin para a versão 3.1.23.5 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Advanced Custom Fields: Extended WordPress plugin versões anteriores a 0.9.2.7 **Description** A restrição insuficiente de funções enviadas por meio de formulários de usuário no front-end permite que visitantes não autenticados registrem contas com capacidades elevadas. Devido a uma salvaguarda incompleta contra funções privilegiadas, um invasor pode escalar seus privilégios para o nível de administrador. **Recommendations** Atualize o plugin para a versão 0.9.2.7 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** MW WP Form versões anteriores a 5.1.5 **Description** Existe um problema onde valores enviados por usuários contendo shortcodes não são devidamente sanitizados antes de serem mesclados em uma mensagem que é posteriormente processada para shortcodes. Isso permite que usuários não autenticados executem qualquer shortcode registrado no site. Isso ocorre quando o site está configurado para ecoar um valor enviado de volta ao visitante após o envio. **Recommendations** Atualize o MW WP Form para a versão 5.1.5 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Ultimate Member WordPress plugin versões anteriores a 2.13.0 **Description** Existe um problema onde o plugin falha ao validar a seleção de função quando não consegue resolver o conjunto de funções permitidas por um formulário de perfil. Em vez de verificar a lista de permissões específica do formulário, o sistema valida o valor em relação aos nomes de funções registrados no site. Isso permite que usuários não autenticados que se registram através do formulário do plugin atribuam a si mesmos capacidades arbitrárias, potencialmente obtendo acesso equivalente ao de administrador. **Recommendations** Atualize o Ultimate Member WordPress plugin para a versão 2.13.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Breeze Cache WordPress plugin versões anteriores a 2.5.13 **Descrição** Existe um problema onde o plugin não sanitiza um valor recebido de uma requisição utilizado para construir caminhos de arquivos em cache. Isso permite que atacantes não autenticados realizem um ataque de path traversal para criar arquivos em locais arbitrários no servidor, ignorando as restrições do diretório de cache pretendido. **Recomendações** Atualize o Breeze Cache WordPress plugin para a versão 2.5.13 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Smush WordPress plugin versões anteriores a 4.3.2 **Descrição** A restrição insuficiente de uma configuração de rede permite que um administrador de um único site em uma rede multisite execute código arbitrário em toda a rede. **Recomendações** Atualize o Smush WordPress plugin para a versão 4.3.2 ou posterior.