CVE-2026-14356

Nome do Software Vulnerável e Versões Afetadas FleekDash V2 versões anteriores a 2.6.2.3

Descrição Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes autenticados com nível de acesso de assinante ou superior podem sobrescrever o endereço de e-mail e a senha de qualquer usuário do WordPress, incluindo administradores, resultando no controle total da conta e do site. Além disso, o endpoint /wp-json/fleekdash/v1/register provisiona automaticamente uma conta com função de Assinante e retorna um nonce REST válido, independentemente da configuração users can register, permitindo que atacantes não autenticados obtenham as credenciais e o nonce necessários.

Recomendações Atualize o FleekDash V2 para a versão 2.6.2.3 ou posterior.