CVE-2026-93904

Nome do Software Vulnerável e Versões Afetadas The Social Web Suite – Social Media Auto Post, Social Media Auto Publish plugin for WordPress versões anteriores a 4.1.13

Descrição Existe um problema onde invasores não autenticados podem realizar SQL Injection ao anexar consultas adicionais a consultas existentes para extrair informações sensíveis do banco de dados. Isso ocorre devido à escape insuficiente de dados fornecidos pelo usuário e à falta de preparação adequada da consulta SQL através do parâmetro exclude posts. Além disso, o portão de autenticação HMAC (Código de Autenticação de Mensagem baseado em Hash) que protege o endpoint pode ser ignorado em instalações novas se um administrador ainda não tiver visitado a página de configurações. Nesses casos, a secret key permanece vazia, permitindo que um invasor gere um token válido usando a função hash hmac() com um timestamp arbitrário.

Recomendações Atualize o plugin para uma versão posterior à 4.1.12. Como mitigação temporária, evite usar o parâmetro exclude posts até que a atualização seja aplicada.