CVE-2025-2871

Nome do Software Vulnerável e Versões Afetadas: O plugin WordPress Mega Menu – QuadMenu para WordPress versões até, e incluindo, 3.2.0

Descrição: O problema está relacionado à Falsificação de Solicitação Entre Sites (CSRF) devido à validação de nonce ausente ou incorreta na função ajax dismiss notice(). Isso permite que atacantes não autenticados atualizem qualquer meta do usuário para o valor um, incluindo wp capabilities, o que poderia resultar na redução de privilégio de um administrador. Os atacantes podem explorar isso enganando um administrador do site para realizar uma ação, como clicar em um link, por meio de uma solicitação forjada.

Recomendações: Para versões até, e incluindo, 3.2.0, atualize para uma versão que inclua a correção para a validação de nonce ausente ou incorreta na função ajax dismiss notice(). Como solução temporária, considere desabilitar a função ajax dismiss notice() até que um patch esteja disponível.