CVE-2026-109400

Nome do Software Vulnerável e Versões Afetadas InstaWP Connect versões anteriores a 0.1.4.2

Descrição Existe um problema onde o plugin registra sua página de administração usando add management page() com um nome de função de InstaWP Setting::get allowed role() como a capacidade exigida. Como generate section field() renderiza a chave mestre de API da opção instawp api options como uma entrada HTML de texto simples sem uma verificação de manage options, usuários autenticados com acesso de nível Assinante ou superior podem ler a chave mestre de API em texto simples. Um invasor pode então usar o segredo derivado de SHA-256 desta chave como um token portador aceito pela função validate api request() na API REST. Ao chamar o endpoint POST /wp-json/instawp-connect/v2/auto-login, o invasor pode gerar uma URL de login de uso único de 30 segundos que define um cookie de autenticação de administrador, resultando em escalada total de privilégios. Isso requer que o site esteja conectado ao InstaWP e que a função do invasor esteja incluída na lista instawp sync tab roles.

Recomendações Atualize o InstaWP Connect para a versão 0.1.4.2 ou posterior. Como mitigação temporária, remova quaisquer funções que não sejam de administrador da lista instawp sync tab roles para evitar que usuários com menos privilégios acessem a página de configurações.