PT-2026-33307 · Onesignal+1 · Onesignal-Free-Web-Push-Notifications

Muhammad Sharief

·

CVE-2026-3155

·

Publicado

2026-04-15

·

Atualizado

2026-04-16

CVSS v3.1

3.1

Baixa

VetorAV:N/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:N
Nome do Software Vulnerável e Versões Afetadas OneSignal – Web Push Notifications plugin for WordPress versões anteriores a 3.8.1
Descrição Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Isso permite que atacantes autenticados, com nível de acesso de assinante ou superior, excluam metadados do OneSignal de postagens arbitrárias.
Recomendações Atualize o plugin para uma versão posterior a 3.8.0.

Correção

Missing Authorization

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2026-3155

Produtos afetados

Onesignal-Free-Web-Push-Notifications