Shivamani Vastrala

🚨 CVE-2026-81348 The My Private Site WordPress plugin before 4.2.3 does not apply its site-privacy access control to certain unauthenticated front-end read surfaces, allowing unauthenticated users to view post content, comments and post URLs from a site the administrator placed behind mandatory login. 🎖@cveNotify

🚨 CVE-2026-15247 The Search Atlas SEO WordPress plugin before 2.6.24 does not perform a nonce or capability check before processing a settings update in one of its early-priority handlers, allowing any authenticated user such as a Subscriber to overwrite or delete the site's stored Google service-account credentials. 🎖@cveNotify

The Restrict User Access WordPress plugin before 2.8.1 does not normalise the REST API route before checking it against the routes its content protection covers, allowing unauthenticated users to bypass that protection and read restricted content and enumerate users.

**Nome do Software Vulnerável e Versões Afetadas** GamiPress WordPress plugin versões anteriores a 7.9.9.6 **Description** A funcionalidade de rastreamento de visualização de vídeo não restringe adequadamente o acesso, permitindo que usuários com a função de Assinante (Subscriber) concedam pontos de gamificação, conquistas e classificações configuradas a qualquer usuário, incluindo administradores. Além disso, isso permite que os usuários acumulem essas recompensas sem limite. **Recommendations** Atualize o GamiPress WordPress plugin para a versão 7.9.9.6 ou posterior.

The Royal Addons for Elementor WordPress plugin before 1.7.1066 does not perform any capability or ownership check (relying only on a publicly-scrapeable nonce) before writing like-count and visitor-tracking post meta keyed on an arbitrary post ID, allowing unauthenticated users to modify that metadata on any post, including private and draft posts.

**Nome do Software Vulnerável e Versões Afetadas** Simple Newsletter Plugin versões anteriores a 4.3.3 **Description** Existe um problema onde o plugin não verifica se o solicitante é o assinante especificado em uma solicitação pública antes de exibir os detalhes armazenados. Isso permite que usuários não autenticados divulguem informações de identificação pessoal (PII) de um assinante e a `confirm key` usada para autorizar alterações em seu registro por meio da página de Ações. **Recommendations** Atualize o Simple Newsletter Plugin para a versão 4.3.3 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** YayCurrency WordPress plugin versões anteriores a 3.3.5 **Description** O plugin não realiza verificações de capacidade ou propriedade em diversos manipuladores de integração multi-vendedor acessíveis a usuários não autenticados. Isso permite que atacantes remotos acessem informações sensíveis, incluindo totais de pedidos da loja, ganhos de vendedores, livros de saldo e históricos de retiradas, através da iteração de identificadores. **Recommendations** Atualize o plugin para a versão 3.3.5 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Manual Image Crop versões anteriores a 1.15 **Descrição** O plugin não realiza verificações de capacidade ou de nonce na ação AJAX autenticada utilizada para cortar imagens de anexo. Como a proteção atual permite qualquer usuário logado, um usuário com privilégios de assinante pode fornecer um ID de anexo arbitrário para sobrescrever a imagem de tamanho intermediário gerada, como uma miniatura, e alterar seus metadados armazenados, independentemente de quem seja o proprietário da mídia. Isso resulta em um problema de integridade entre usuários e desfiguração (defacement) na Biblioteca de Mídia. Além disso, a ausência de um nonce torna a ação suscetível a Cross-Site Request Forgery (CSRF), uma técnica onde um invasor engana a vítima para realizar ações que ela não pretendia fazer. **Recomendações** Atualize para a versão 1.15 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Product Feed PRO for WooCommerce by AdTribes versões anteriores a 13.5.7 **Description** Uma verificação de autorização está ausente em uma rota de leitura REST, o que permite que usuários não autenticados divulguem a configuração de feed da loja, incluindo regras, filtros e mapeamento de campos. Além disso, este problema permite a enumeração de toda a taxonomia de categorias de produtos. **Recommendations** Atualize o Product Feed PRO for WooCommerce by AdTribes para a versão 13.5.7 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** ECS WordPress plugin versões anteriores a 4.3.8 **Description** A falta de verificações de capacidade e de propriedade de objeto nos manipuladores AJAX do Dynamic Repeater permite que um usuário com privilégios de Colaborador injete vinculações de fonte de dados em qualquer postagem, incluindo páginas criadas por administradores. Como os valores são renderizados na saída do repetidor de um widget sem a sanitização adequada, isso pode levar à execução de JavaScript arbitrário na sessão de qualquer visitante ou administrador que visualize a página afetada. Os manipuladores são protegidos apenas por um nonce agnóstico de capacidade que qualquer usuário com a permissão `edit posts` pode obter através do editor Elementor. **Recommendations** Atualize o ECS WordPress plugin para a versão 4.3.8 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Cookie Consent WordPress plugin versões anteriores a 0.0.10 **Descrição** Verificações de capacidade insuficientes nas rotas REST 'consent-settings' permitem que qualquer usuário autenticado, incluindo aqueles com privilégios de assinante, modifique as configurações do plugin. Além disso, em sites que utilizam o plano pago do fornecedor, usuários autenticados podem ler os logs de consentimento de visitantes armazenados. **Recomendações** Atualize o Cookie Consent WordPress plugin para a versão 0.0.10 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Slim SEO versões anteriores a 4.9.11 **Description** Um recurso de visualização de post-meta não restringe o acesso a postagens que o usuário tem permissão para editar, verificando apenas o acesso de leitura. Isso permite que usuários com a função de Colaborador (Contributor) leiam post-meta arbitrários de postagens publicadas que não lhes pertencem, incluindo postagens protegidas por senha e postagens de tipos de postagem não públicos. Essa divulgação pode incluir chaves privadas e protegidas. **Recommendations** Atualize o Slim SEO para a versão 4.9.11 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** WP Statistics versões anteriores a 14.16.10 **Descrição** Verificações de capacidade insuficientes em um conjunto de manipuladores AJAX de análise do painel permitem que usuários autenticados com nível de acesso Assinante (Subscriber) ou superior divulguem dados sensíveis de análise de visitantes do site. O sistema depende exclusivamente de um nonce, que é um token único usado para evitar falsificação de requisição cross-site, mas como todo usuário autenticado possui um, ele falha em restringir o acesso com base nas funções do usuário. **Recomendações** Atualize o WP Statistics para a versão 14.16.10 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Templately versões anteriores a 3.7.1 **Descrição** Falta uma verificação de autorização em um manipulador de requisições, o que permite que atacantes não autenticados sobrescrevam a conexão de serviço em nuvem armazenada do administrador. Esta ação desconecta o administrador legítimo e redireciona a biblioteca de modelos em nuvem do site para conteúdo controlado pelo atacante. **Recomendações** Atualize o Templately para a versão 3.7.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Payment Gateway for Redsys & WooCommerce Lite WordPress plugin versões anteriores a 7.0.2 **Descrição** O plugin não verifica a autenticidade das notificações recebidas do provedor de pagamento para um método de pagamento específico antes de marcar os pedidos como pagos. Isso permite que invasores não autenticados forjem um callback de confirmação de pagamento para concluir pedidos sem realizar o pagamento real. **Recomendações** Atualize o plugin para a versão 7.0.2 ou posterior.

The WPCargo Track & Trace WordPress plugin before 8.0.4 does not properly sanitise and escape a parameter before using it in a SQL statement, allowing unauthenticated users to perform SQL injection attacks. This affects a code path distinct from the one addressed by CVE-2024-44004.

**Nome do Software Vulnerável e Versões Afetadas** PeproDev WooCommerce Receipt Uploader versões anteriores a 2.8.1 **Description** Existe uma Referência Direta Insegura a Objeto (IDOR) onde o plugin não verifica se um anexo solicitado pertence ao pedido associado ao token de acesso fornecido. Isso permite que atacantes não autenticados forjem um token e divulguem anexos de imagem, como comprovantes de pagamento enviados por outros clientes. **Recommendations** Atualize o PeproDev WooCommerce Receipt Uploader para a versão 2.8.1 ou posterior.

The Security Optimizer WordPress plugin from 1.5.8 to 1.6.4 does not correctly validate requests to its optional IP-based login restriction feature, allowing the restriction to be bypassed so that unauthenticated requests from non-allowlisted IP addresses can reach and use the login form, defeating the access control the administrator configured.

**Nome do Software Vulnerável e Versões Afetadas** Payment Plugins for PayPal WooCommerce WordPress plugin versões anteriores a 2.0.20 **Descrição** Verificações de autorização insuficientes em um endpoint REST permitem que usuários não autenticados ignorem pagamentos. **Recomendações** Atualize o plugin para a versão 2.0.20 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** The Orbit Fox: Duplicate Page, Menu Icons, SVG Support, Cookie Notice, Custom Fonts & More WordPress plugin versões anteriores a 3.0.8 **Description** O plugin não sanitiza arquivos SVG carregados quando o recurso de upload de SVG está habilitado. Isso permite que usuários autenticados com permissões de upload (como Autor e acima) carreguem arquivos SVG contendo JavaScript. Quando esses arquivos são visualizados, o script é executado no contexto do site, resultando em Stored Cross-Site Scripting (XSS), uma falha onde scripts maliciosos são armazenados permanentemente no servidor alvo. **Recommendations** Atualize o plugin para a versão 3.0.8 ou posterior. Como medida de mitigação temporária, desative o recurso de upload de SVG.