CVE-2026-8617

Nome do Software Vulnerável e Versões Afetadas SearchPlus versões anteriores a 1.7.2

Descrição O plugin SearchPlus para WordPress permite que usuários não autenticados modifiquem ou excluam dados armazenados. Isso ocorre porque as funções searchplus save token action callback() e searchplus reset token action callback() carecem de verificações de capacidade e validação de nonce, estando expostas através de hooks wp ajax nopriv . Um invasor pode explorar isso para sobrescrever ou excluir opções de token e nome de conta, especificamente as variáveis dym token, dym name, searchplus token, searchplus name, sp token e sp name.

Recomendações Atualize o SearchPlus para a versão 1.7.2 ou posterior. Como mitigação temporária, restrinja o acesso às funções searchplus save token action callback() e searchplus reset token action callback().