CVE-2026-6020

Nome do Software Vulnerável e Versões Afetadas ShopLentor versões anteriores a 3.3.8

Description O plugin ShopLentor para WordPress permite a execução arbitrária de funções através do endpoint de API REST 'woolentoropt/v1/custom-action'. O problema ocorre porque o método handle action() passa a entrada fornecida pelo usuário para a função call user func() sem validá-la em uma lista de permissões de callbacks permitidos. Consequentemente, invasores autenticados com nível de acesso de Administrador ou superior podem executar funções PHP chamáveis arbitrárias manipulando o parâmetro callback.

Recommendations Atualize o ShopLentor para a versão 3.3.8 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint de API REST 'woolentoropt/v1/custom-action'.