CVE-2026-119745

Nome do Software Vulnerável e Versões Afetadas Sender plugin for WordPress versões anteriores a 2.11.3 MultiVendorX plugin for WordPress versões anteriores a 5.0.21

Descrição Uma falha de autorização ausente permite que qualquer usuário autenticado, incluindo aqueles com a função de Assinante, acesse um dump de diagnóstico sensível. Isso ocorre quando a função downloadDebugFile() processa a ação admin post sender debug download sem verificar capacidades, nonces ou cabeçalhos de referer. Um invasor pode usar o endpoint wp-admin/admin-post.php?action=sender debug download para recuperar detalhes da versão do servidor, versões do PHP, WordPress e WooCommerce, a lista completa de plugins e temas ativos e configurações do plugin, incluindo a chave de recurso da conta Sender e metadados da conta.

Recomendações Atualize o Sender plugin for WordPress para a versão 2.11.3 ou posterior. Atualize o MultiVendorX plugin for WordPress para a versão 5.0.21 ou posterior.