Ria Labs

The WPLP Cookie Consent WordPress plugin before 4.4.2 does not have capability or nonce checks on some of its A/B testing actions, allowing any authenticated user, such as a subscriber, to overwrite the cookie banner configuration shown to every visitor and to irreversibly reset the stored A/B test results.

🚨 CVE-2026-84936 The EmbedPress WordPress plugin before 4.6.4 does not have proper authorization on a public review-loading action, allowing unauthenticated users to force the site to make repeated billable third-party API requests using the site's own configured API key, and to create an unbounded number of attacker-controlled rows in the database. 🎖@cveNotify

The Frontend Admin by DynamiApps WordPress plugin before 3.29.13 does not properly validate a user-controllable directory path before deleting files within it, allowing unauthenticated attackers to delete index.php and .htaccess files outside the intended directory, including the WordPress root, which can render the site inoperable. Successful exploitation requires a non-default form configuration.

**Nome do Software Vulnerável e Versões Afetadas** Automation Web Platform – Notifications and OTP for WooCommerce, Advanced Country Code plugin for WordPress versões anteriores a 4.8.7 **Descrição** Existe uma falha de bypass de autenticação porque a função `handle email otp return()` retorna um token de login mágico secreto diretamente na resposta de uma solicitação de OTP publicamente acessível, em vez de enviá-lo exclusivamente para o e-mail do usuário. Isso permite que invasores não autenticados obtenham acesso a qualquer conta, incluindo contas de administrador, desde que conheçam o endereço de e-mail do usuário alvo. **Recomendações** Atualize o plugin para uma versão posterior à 4.8.6. Como medida de mitigação temporária, restrinja o acesso à função `handle email otp return()`.