CVE-2026-15026

Nome do Software Vulnerável e Versões Afetadas Import and export users and customers plugin for WordPress versões anteriores a 2.4.1

Descrição Usuários autenticados com nível de acesso de assinante ou superior podem extrair o post title e o post content bruto de posts arbitrários através da enumeração de IDs de posts. Esta exposição afeta posts independentemente do status (rascunho, privado, futuro, lixeira, protegido por senha) ou tipo de post, incluindo Custom Post Types (CPTs) não públicos, como registros internos de CRM e pedidos do WooCommerce. O problema ocorre por meio do parâmetro email template selected. O nonce codection-security necessário é exposto como JavaScript inline em qualquer página wp-admin quando ?post type=acui email template é adicionado à URL.

Recomendações Atualize o plugin para uma versão posterior à 2.4.0.