CVE-2026-105894

Nome do Software Vulnerável e Versões Afetadas Ak Framework plugin for WordPress versões anteriores a 2.9.9

Descrição Atacantes não autenticados podem escalar privilégios para administrador ao atualizar opções arbitrárias do WordPress. Isso ocorre porque os manipuladores ajax refresh nonce e ak admin ajax não realizam verificações de capacidade antes de passar nomes e valores de opções controlados pelo atacante para a função update option(). Ao manipular esses manipuladores, um atacante pode habilitar o registro de usuários e definir o default role como administrador através das variáveis users can register e default role.

Recomendações Atualize o plugin Ak Framework para a versão 2.9.9 ou posterior.