CVE-2026-3642

Nome do Software Vulnerável e Versões Afetadas e-shot™ form builder plugin for WordPress versões anteriores a 1.0.3

Descrição O plugin apresenta uma falha de autorização ausente no manipulador AJAX eshot form builder update field data(). A função é registrada via hook wp ajax , mas não implementa verificações de capacidade usando current user can() nem verificação de nonce através de check ajax referer() ou wp verify nonce(). Consequentemente, usuários autenticados com nível de acesso Assinante (Subscriber) ou superior podem modificar configurações de campos de formulário, como status obrigatório, visibilidade do campo e preferências de exibição do formulário, interagindo com a ação AJAX eshot form builder update field data.

Recomendações Atualize o e-shot™ form builder plugin for WordPress para a versão 1.0.3 ou posterior.