CVE-2026-6708

Nome do Software Vulnerável e Versões Afetadas HEL Online Classroom: AI-powered Online Classrooms versões anteriores a 1.0.4

Descrição A falta de autorização em um endpoint de REST API permite que invasores não autenticados excluam qualquer registro de sala de aula. Isso ocorre porque o endpoint é registrado com um permission callback de return true, que ignora todas as verificações de autenticação e autorização do WordPress. Um invasor pode disparar isso fornecendo o ID da sala de aula na requisição, resultando em perda permanente de dados.

Recomendações Atualize o plugin para uma versão posterior a 1.0.3.