CVE-2025-14799

Nome do Software Vulnerável e Versões Afetadas Brevo - Email, SMS, Web Push, Chat e mais. plugin para o WordPress, versões até e incluindo 3.3.0

Descrição O plugin Brevo para WordPress apresenta um problema de bypass de autorização causado por manipulação de tipos. Isso ocorre devido ao uso de comparação não estrita (==) em vez de comparação estrita (===) ao validar o ID de instalação. Um atacante não autenticado pode explorar isso enviando um valor booleano true para o parâmetro id ao endpoint da API /wp-json/mailin/v1/mailin disconnect. A exploração bem-sucedida permite que os atacantes desconectem a integração do Brevo, excluam a chave da API, removam todos os formulários de inscrição e redefinam as configurações do plugin. O parâmetro vulnerável é o id.

Recomendações Atualize o plugin Brevo - Email, SMS, Web Push, Chat e mais. para o WordPress para uma versão superior a 3.3.0.