CVE-2025-14339

Nome do Software Vulnerável e Versões Afetadas weMail - Plugin de Marketing de E-mail, Geração de Leads, Formulários de Opt-in, Newsletters de E-mail, Testes A/B e Automação para WordPress, versões até a 2.0.7

Descrição O plugin weMail para WordPress é afetado por uma falha que permite a exclusão não autorizada de formulários. A função Forms::permission() valida inadequadamente o cabeçalho X-WP-Nonce, falhando em verificar as capacidades do usuário. O nonce REST está acessível a visitantes não autenticados através do objeto JavaScript weMail em páginas que contêm formulários weMail. Isso permite que qualquer usuário não autenticado exclua permanentemente todos os formulários weMail ao obter o nonce no código-fonte da página e enviar uma solicitação DELETE para o endpoint de formulários: /wp-json/wemail/v1/forms. O parâmetro vulnerável é o cabeçalho X-WP-Nonce.

Recomendações Atualize para uma versão do plugin weMail posterior à 2.0.7.