CVE-2026-13250

Nome do Software Vulnerável e Versões Afetadas Solace Extra plugin for WordPress versões anteriores a 1.5.4

Descrição Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Isso permite que atacantes não autenticados excluam permanentemente todo o conteúdo importado através do recurso Starter Template, incluindo posts, páginas, anexos de mídia, produtos do WooCommerce, termos de taxonomia e templates do sitebuilder. O problema ocorre porque o nonce necessário é emitido em todas as páginas do wp-admin via wp localize script() conectado ao admin enqueue scripts sem uma guarda de página, permitindo que qualquer Assinante que visite /wp-admin/profile.php o obtenha. Além disso, o manipulador é registrado via wp ajax nopriv , tornando a funcionalidade acessível a usuários totalmente não autenticados.

Recomendações Atualize o plugin para uma versão posterior à 1.5.3.