Nightward

**Nome do Software Vulnerável e Versões Afetadas** Ad Inserter – Ad Manager & AdSense Ads versões anteriores a 2.8.17 **Descrição** Existe uma Referência Direta a Objeto Insegura (IDOR) através do atributo `data` do shortcode [adinserter]. A função `replace ai tags()` processa um padrão de tag {reusable-block-N} que chama `get post field('post content', N)` sem verificar a capacidade do usuário via `current user can('read post')`, sem restringir o tipo de postagem a `wp block` e sem verificar o status da postagem. Isso permite que atacantes autenticados com nível de acesso de Colaborador ou superior leiam o conteúdo completo de postagens arbitrárias, incluindo postagens Privadas, Rascunhos, Pendentes, na Lixeira e protegidas por senha pertencentes a outros usuários, ao inserir o shortcode em uma postagem própria e visualizá-la. **Recomendações** Atualize para uma versão posterior à 2.8.16.