CVE-2025-13950

Nome do Software Vulnerável e Versões Afetadas OneSignal – Plugin de Notificações Push Web para WordPress versões até a 3.6.1

Descrição O plugin OneSignal – Web Push Notifications para WordPress é suscetível à modificação não autorizada de dados. Isso ocorre devido à ausência de uma verificação de capacidades ao gerenciar configurações, permitindo que atacantes modifiquem diretamente o App ID do OneSignal, a chave da API REST e o comportamento das notificações por meio de solicitações POST sem autenticação. O plugin processa solicitações POST sem verificar as capacidades do usuário ou nonces.

Recomendações Atualize para a versão 3.6.2 ou posterior.