CVE-2026-9172

Nome do Software Vulnerável e Versões Afetadas Devs Accounting – Simple Accounting and Invoicing Solution versões anteriores a 1.2.1

Descrição A ausência de uma verificação de capacidade na função delete single account() permite a modificação ou exclusão não autorizada de dados. A rota REST '/devs-accounting/v1/delete-account/(?Pd+)' está registrada sem um permission callback, expondo o endpoint ao acesso público e não autenticado. Isso permite que invasores não autenticados realizem a exclusão lógica (soft-delete) de registros arbitrários de contas contábeis em wp dac accounts ao enviar uma requisição GET para o endpoint utilizando a variável id.

Recomendações Atualize o plugin para uma versão posterior a 1.2.0. Como medida paliativa temporária, restrinja o acesso público ao endpoint '/devs-accounting/v1/delete-account/(?Pd+)'.