CVE-2026-7047

Nome do Software Vulnerável e Versões Afetadas Frontend User Notes versões anteriores a 2.1.2

Description O plugin está sujeito a Cross-Site Request Forgery (CSRF), uma falha onde um invasor engana um usuário autenticado para executar ações indesejadas. Isso ocorre devido à validação de nonce ausente ou incorreta na função funp ajax modify notes(). Atacantes não autenticados podem induzir um usuário ou administrador logado a visitar uma página maliciosa, resultando na sobrescrita não autorizada do conteúdo da própria nota da vítima por meio de uma solicitação forjada para wp update post(). Como o sistema compara o valor meta funp single user id com o ID da sessão atual, o impacto é limitado à modificação de notas pertencentes ao usuário enganado, não podendo ser usado para alterar notas de terceiros.

Recommendations Atualize para uma versão posterior a 2.1.1. Como medida paliativa temporária, restrinja o acesso à função funp ajax modify notes() para minimizar o risco de exploração.