CVE-2026-9183

Nome do Software Vulnerável e Versões Afetadas 24liveblog versões anteriores a 2.3

Descrição O plugin 24liveblog para WordPress permite que usuários autenticados com nível de acesso de colaborador ou superior extraiam credenciais sensíveis de contas de terceiros. O problema ocorre porque a função lb24 block enqueue scripts() está vinculada ao enqueue block editor assets. Para usuários que não são administradores, o sistema carrega segredos de integração de todo o site da tabela de opções usando get option() e os expõe via wp localize script() dentro do objeto JavaScript lb24BlockData. Um invasor pode recuperar as variáveis lb24 token, lb24 refresh token, lb24 uid e lb24 uname simplesmente abrindo o editor de blocos e inspecionando o código-fonte da página.

Recomendações Atualize o plugin para uma versão posterior a 2.2. Como medida paliativa temporária, restrinja as funções de usuário para impedir que usuários não administradores acessem o editor de blocos.