CVE-2026-11900

Nome do Software Vulnerável e Versões Afetadas Ad Inserter – Ad Manager & AdSense Ads versões anteriores a 2.8.17

Descrição Existe uma Referência Direta a Objeto Insegura (IDOR) através do atributo data do shortcode [adinserter]. A função replace ai tags() processa um padrão de tag {reusable-block-N} que chama get post field('post content', N) sem verificar a capacidade do usuário via current user can('read post'), sem restringir o tipo de postagem a wp block e sem verificar o status da postagem. Isso permite que atacantes autenticados com nível de acesso de Colaborador ou superior leiam o conteúdo completo de postagens arbitrárias, incluindo postagens Privadas, Rascunhos, Pendentes, na Lixeira e protegidas por senha pertencentes a outros usuários, ao inserir o shortcode em uma postagem própria e visualizá-la.

Recomendações Atualize para uma versão posterior à 2.8.16.