CVE-2026-4297

Nome do Software Vulnerável e Versões Afetadas Welcome Software Publishing versões anteriores a 0.0.32

Descrição O plugin está sujeito a um problema de Atualização Arbitrária de Opções causado por uma verificação de capacidade ausente na função nc setOption(), que é exposta através do método XML-RPC 'nc.setOption'. Embora a função verifique as credenciais via $wp xmlrpc server->login(), ela não realiza verificações de autorização, como current user can('manage options'). Isso permite que atacantes autenticados com nível de acesso de Assinante (Subscriber) ou superior atualizem opções arbitrárias do WordPress via requisições XML-RPC. Um atacante pode explorar isso para alterar a opção default role para 'administrator' e registrar uma nova conta de administrador, resultando em escalonamento total de privilégios e controle total do site.

Recomendações Atualize para uma versão posterior a 0.0.31. Como medida paliativa temporária, restrinja o acesso ao método XML-RPC 'nc.setOption' ou desative a funcionalidade XML-RPC para minimizar o risco de exploração.