CVE-2026-15212

Nome do Software Vulnerável e Versões Afetadas WPO365 | Login versões anteriores a 43.3

Descrição O plugin é suscetível a Cross-Site Request Forgery (CSRF), uma falha na qual um invasor engana a vítima para realizar ações que ela não pretendia. Isso ocorre porque o auxiliar Ajax Service::verify ajax request() não executa a chamada wp verify nonce() devido à opção booleana enable nonce check estar ausente da matriz padrão wpo365 options, fazendo com que seja avaliada como falsa via get global boolean var(). Consequentemente, o manipulador wp ajax wpo365 update settings (especificamente a função Ajax Service::update settings) aceita requisições POST de páginas de origens cruzadas. Essas requisições encaminham um payload de settings em base64/JSON para Options Service::update options(), que mescla os dados em wpo365 options sem uma lista de permissões de chaves. Atacantes não autenticados podem explorar isso para sobrescrever opções arbitrárias do plugin, como habilitar o endpoint REST SCIM via enable scim, injetar um scim secret token ou alterar o new usr default role para administrador.

Recomendações Atualize o plugin para uma versão posterior a 43.2.