CVE-2026-8909

Nome do Software Vulnerável e Versões Afetadas WpMobi versões anteriores a 0.0.4

Description O plugin WpMobi para WordPress está sujeito a Cross-Site Request Forgery (CSRF), uma falha onde um invasor engana a vítima para realizar ações que ela não pretendia. Isso ocorre devido à validação de nonce ausente ou incorreta na função handleSaveGeneralSettings(). Atacantes não autenticados podem modificar as Configurações Gerais e injetar scripts web arbitrários no navegador do administrador através da reflexão do atributo app name não escapado via uma requisição forjada. O script é executado mesmo se o valor de app name falhar na validação e não for salvo no banco de dados, pois o formulário é renderizado novamente usando o valor em memória fornecido pelo invasor após a falha.

Recommendations Atualize para uma versão posterior a 0.0.3. Como medida paliativa temporária, restrinja o acesso à função handleSaveGeneralSettings() para minimizar o risco de exploração.