CVE-2026-75930

Nome do Software Vulnerável e Versões Afetadas FundEngine – Donation and Crowdfunding Platform plugin for WordPress versões anteriores a 1.8.2

Descrição Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes autenticados com nível de acesso de assinante ou superior podem modificar postagens e páginas arbitrárias, permitindo a sobrescrita de títulos e conteúdos. Atacantes também podem assumir a propriedade do conteúdo fornecendo um inteiro post author controlado, que ignora a função de sanitização wp kses post. O nonce wp rest exigido é facilmente obtido por qualquer usuário logado através do endpoint /wp-admin/admin-ajax.php?action=rest-nonce, portanto, não constitui uma barreira de autorização eficaz.

Recomendações Atualize o plugin para a versão 1.8.2 ou posterior.