CVE-2026-94541

Nome do Software Vulnerável e Versões Afetadas WPMobile.App – Android and iOS App Builder versões anteriores a 11.83

Descrição Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Isso permite que atacantes não autenticados exfiltrem URLs de redefinição de senha de qualquer usuário, incluindo administradores. O problema ocorre quando o recurso mail-to-push está ativado através da configuração wpmobile auto mail=1, o que faz com que os e-mails de redefinição de senha do WordPress sejam espelhados na fila de push, tornando as URLs e chaves de redefinição acessíveis a atacantes para a tomada de controle de contas.

Recomendações Atualize para uma versão posterior a 11.82. Desative o recurso mail-to-push definindo wpmobile auto mail como 0 para evitar o espelhamento de e-mails de redefinição de senha na fila de push.