CVE-2026-111625

Nome do Software Vulnerável e Versões Afetadas 10up Distributor versões anteriores a 2.3.2

Description Um problema de autorização ausente existe na função ajax push(). Isso permite que usuários com permissões de nível Contributor em um ambiente multisite publiquem postagens em outros sites da rede. Um invasor pode explorar isso usando o nonce dt-push junto com um id de conexão escolhido e postStatus para criar rascunhos ou postagens publicadas em sites aos quais não têm acesso.

Recommendations Atualize para a versão 2.3.2 ou posterior. Como mitigação temporária, restrinja o uso da função ajax push() para usuários com permissões de nível Contributor.