CVE-2026-109386

Nome do Software Vulnerável e Versões Afetadas The Hustle – Email Marketing, Lead Generation, Optins, Popups plugin for WordPress versões anteriores a 7.8.15

Description Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes autenticados com acesso de nível personalizado e a capacidade hustle create podem sobrescrever as credenciais de integração de Provedores de Serviços de Email (ESP) ativos, como chaves de API do AWeber, Constant Contact, Infusionsoft, ConvertKit ou HubSpot. Isso permite que o atacante desvie os envios de leads dos formulários Hustle para seu próprio locatário de ESP. Além disso, para integrações do HubSpot, os atacantes podem excluir irreversivelmente as linhas de token OAuth, referenciador OAuth e a opção de página atual do OAuth. O ataque é facilitado pelo carregamento de uma página de assistente de módulo do Hustle para obter o nonce hustle provider action necessário para acessar os manipuladores vulneráveis.

Recommendations Atualize o plugin para uma versão posterior à 7.8.14.3.