Usama Arshad

The Sprout Invoices WordPress plugin before 20.8.16 does not perform a capability or ownership check before allowing a private note to be overwritten through one of its AJAX actions, allowing any authenticated user such as a subscriber to overwrite private notes on records belonging to other users.

The Ultimate Gift Cards for WooCommerce WordPress plugin before 3.2.10 does not have any authorisation check when displaying gift card details, allowing unauthenticated users to retrieve the gift cards attached to arbitrary orders and disclose customer personal data, balances, dates and, in 3.2.9, the live redemption code, which anyone holding it can spend. Versions from 3.0.3 to 3.2.8 disclose the same data without the redemption code.

🚨 CVE-2026-81423 The Accept Stripe Payments WordPress plugin before 2.1.4 does not validate a user-supplied URL before using it in a redirect, allowing unauthenticated attackers to redirect visitors to an arbitrary external website, which can be leveraged for phishing. 🎖@cveNotify

The Classified Listing WordPress plugin before 6.1.1 does not verify that the caller owns or can edit the target listing before its AI image-editing AJAX action deletes or attaches media, allowing any authenticated user, including a subscriber, to permanently delete attachments from, and attach files to, any listing owned by another user.

**Nome do Software Vulnerável e Versões Afetadas** Rank Math SEO WordPress plugin versões anteriores a 1.0.277 **Descrição** A verificação insuficiente da propriedade de metadados permite que usuários com a função de Autor ou superior sobrescrevam metadados arbitrários de postagens e usuários. Essa falha possibilita a modificação de dados pertencentes a usuários com privilégios mais elevados. **Recomendações** Atualize o Rank Math SEO WordPress plugin para a versão 1.0.277 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** WC Vendors versões anteriores a 2.7.2.1 **Description** Existe uma Referência Direta Insegura a Objeto (IDOR) ao salvar variações de produtos. O software não verifica o tipo de objeto ou a propriedade dos IDs fornecidos pelo usuário, o que permite que usuários autenticados com a função de fornecedor modifiquem variações de produtos pertencentes a outros fornecedores. Além disso, essa falha permite a alteração do status e do título de postagens arbitrárias. **Recommendations** Atualize o WC Vendors para a versão 2.7.2.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** WC Vendors versões anteriores a 2.7.2.1 **Descrição** Determinadas ações de status de envio de pedidos no front-end carecem de proteção contra Cross-Site Request Forgery (CSRF). CSRF é um tipo de ataque que engana um usuário autenticado para executar ações indesejadas em uma aplicação web. Esta falha permite que atacantes forcem um vendedor autenticado a alterar o status de envio de seus próprios pedidos por meio de uma requisição especialmente elaborada. **Recomendações** Atualize o WC Vendors para a versão 2.7.2.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Project Manager versões 2.2.0 through 4.0.6 **Description** Existe uma Referência Direta Insegura a Objeto (IDOR) em uma rota da REST API onde o plugin não verifica se o usuário autenticado que solicita os dados de atividade é o proprietário desses dados. Isso permite que qualquer usuário autenticado, incluindo aqueles com privilégios de assinante, acesse o histórico de atividades de outros usuários, expondo seus endereços de e-mail e detalhes de projetos aos quais não têm autorização para visualizar. **Recommendations** Atualize o Project Manager para a versão 4.0.7 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Project Manager WordPress plugin versões anteriores a 4.0.7 **Descrição** A falta de verificações de autorização nas rotas de importação permite que usuários não autenticados criem contas no WordPress usando senhas conhecidas pelo invasor. Este processo ignora as configurações de registro configuradas no site. **Recomendações** Atualize o plugin Project Manager WordPress para a versão 4.0.7 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Dokan: AI Powered WooCommerce Multivendor Marketplace Solution WordPress plugin versões anteriores a 5.0.14 **Description** Um endpoint REST de loja não autenticado não restringe o acesso às configurações de comissão por vendedor. Isso permite que qualquer usuário não autenticado divulgue o tipo de comissão de um vendedor e, nos casos em que a comissão baseada em categoria estiver configurada, as taxas de comissão padrão e por categoria. **Recommendations** Atualize o plugin para a versão 5.0.14 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** WP Travel Engine versões anteriores a 6.8.5 **Description** O plugin não realiza verificações de autorização ou propriedade ao carregar um identificador de reserva fornecido pelo usuário em uma ação de carrinho não autenticada. Isso permite que atacantes não autenticados divulguem detalhes do pedido de reserva e informações de faturamento armazenadas de qualquer cliente. Além disso, atacantes podem sobrescrever o registro de reserva de um cliente com seus próprios dados através da ação `wte add trip to cart`. **Recommendations** Atualize o WP Travel Engine para a versão 6.8.5 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Ezoic WordPress plugin versões anteriores a 2.23.1 **Description** Restrições de acesso insuficientes na funcionalidade de exportação de conteúdo permitem que atacantes não autenticados acionem uma exportação do lado do servidor do banco de dados do site. Essa exposição inclui dados sensíveis, como hashes de senhas de usuários e tokens de redefinição de senha. Além disso, atacantes podem alterar permanentemente certas configurações do plugin. **Recommendations** Atualize o Ezoic WordPress plugin para a versão 2.23.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** CheckView versões anteriores a 2.3.2 **Descrição** O plugin não restringe seu filtro de autenticação da REST API às suas próprias rotas. Ele descarta incondicionalmente erros de autenticação para qualquer requisição em que a URI contenha uma string específica relacionada ao plugin. Isso permite que atacantes não autenticados ignorem a verificação de nonce da REST—um token de segurança usado para prevenir Cross-Site Request Forgery (CSRF)—e executem qualquer ação de REST disponível para um administrador conectado, como a criação de uma nova conta de administrador, ao enganar um administrador para abrir um link manipulado. **Recomendações** Atualize o CheckView para a versão 2.3.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Salon Booking System WordPress plugin versões anteriores a 10.30.34 **Descrição** O plugin não valida adequadamente o token de propriedade de uma reserva durante as etapas de confirmação do booking-wizard. Isso permite que invasores não autenticados acessem e divulguem registros de reserva de outros clientes, incluindo informações pessoais, ao fornecer um identificador de reserva sequencial. **Recomendações** Atualize o plugin Salon Booking System WordPress para a versão 10.30.34 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** GeoDirectory versões anteriores a 2.8.169 **Description** O plugin GeoDirectory para WordPress não realiza verificações de autorização ao retornar dados de marcadores de mapa para uma listagem solicitada individualmente. Isso permite que usuários não autenticados divulguem o título e as coordenadas geográficas exatas de listagens não públicas, como aquelas em status pendente ou rascunho, através do endpoint REST de marcadores. **Recommendations** Atualize para a versão 2.8.169 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** YMC Filter versões anteriores a 3.12.8 **Description** O plugin não sanitiza nem escapa uma configuração do construtor de layout antes de exibi-la em um endpoint público. Além disso, o software não verifica a propriedade do objeto quando a configuração é salva. Isso permite que usuários com a função de Colaborador (Contributor) ou superior realizem um ataque de Cross-Site Scripting (XSS) Armazenado—onde scripts maliciosos são armazenados permanentemente no servidor—ao injetar JavaScript que é executado no navegador de qualquer visitante que visualize um filtro afetado. **Recommendations** Atualize o YMC Filter para a versão 3.12.8 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** MStore API versões anteriores a 4.21.0 **Description** O plugin MStore API para WordPress não realiza verificações de autorização ou de propriedade de compra em sua rota de criação de avaliações de produtos REST. Isso permite que um invasor não autenticado crie avaliações de produtos do WooCommerce especificando um nome de revisor, e-mail e classificação por estrelas personalizados, mesmo em lojas configuradas para aceitar avaliações apenas de proprietários verificados. **Recommendations** Atualize o MStore API para a versão 4.21.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Events Manager versões anteriores a 7.4 **Descrição** Falta uma verificação de autorização em uma rota REST que fornece uploads de arquivos armazenados temporariamente. Isso permite que usuários não autenticados recuperem o upload em andamento de outro usuário caso o identificador temporário seja conhecido. O identificador possui alta entropia, é divulgado apenas ao remetente e o arquivo é removido após o envio ou por meio de uma limpeza agendada, portanto, a leitura entre usuários não pode ser alcançada apenas por adivinhação. O endpoint afetado é 'events-manager/v1/uploads'. **Recomendações** Atualize para a versão 7.4 ou posterior.

**Nome do software vulnerável e versões afetadas** Plugin Interactive World Maps para versões do WordPress até a 2.4.14, inclusive **Descrição** O problema está relacionado a Cross-Site Scripting refletido devido à sanitização insuficiente de entradas e à falta de escapamento de saídas. Isso permite que invasores não autenticados injetem scripts web arbitrários em páginas que serão executados caso consigam induzir um usuário a realizar uma ação, como clicar em um link. O parâmetro `search` (`s`) é especificamente vulnerável a esse problema. **Recomendações** Para versões até a 2.4.14, inclusive, atualize para uma versão posterior à 2.4.14 para resolver o problema. Como solução temporária, considere restringir o acesso ao parâmetro `search` (`s`) no plugin afetado até que um patch esteja disponível.