CVE-2026-12144

Nome do Software Vulnerável e Versões Afetadas Wholesale for WooCommerce versões anteriores a 2.0.6

Descrição Usuários autenticados com nível de acesso de autor ou superior podem elevar seus privilégios para administrador. O problema reside na função save requests meta(), que não realiza verificações de capacidade, como current user can('promote users') ou current user can('manage options'), e carece de validação de lista permitida (allowlist) para o parâmetro POST user role set. Como o tipo de post wwp requests é registrado com capability type => 'post', autores que criaram uma solicitação podem acessar o nonce request user role nonce e enviar uma requisição manipulada com a variável user role set definida como administrator para obter controle administrativo total.

Recomendações Atualize o Wholesale for WooCommerce para a versão 2.0.6 ou posterior.