CVE-2026-28559

Nome do Software Vulnerável e Versões Afetadas wpForo Forum versão 2.4.14

Descrição O software contém uma falha de divulgação de informações que permite a usuários não autenticados recuperar tópicos privados e não aprovados do fórum. Isso é possível por meio do endpoint global do feed RSS. Ao solicitar o feed RSS sem um parâmetro de ID do fórum, as restrições de privacidade e status são contornadas, pois a consulta não aplica as cláusulas WHERE necessárias. O endpoint vulnerável é /wp-content/plugins/wpforo/rss.php. A falha permite acesso não autorizado a tópicos do fórum.

Recomendações Aplique uma correção para garantir que as cláusulas WHERE de privacidade e status sejam aplicadas corretamente quando um parâmetro de ID do fórum não for fornecido ao endpoint /wp-content/plugins/wpforo/rss.php.