CVE-2026-75971

Nome do Software Vulnerável e Versões Afetadas ShopEngine Elementor WooCommerce Builder Addon – All in One WooCommerce Solution versões anteriores a 4.9.5

Descrição Existe um problema onde a função rum importer() é registrada no hook de ação import start do núcleo do WordPress sem uma verificação de capacidade própria do plugin ou filtragem de lista de permissões. Isso permite que invasores autenticados com nível de acesso de Gerente de Loja (Shop Manager) ou superior utilizem um arquivo de importação WXR malicioso para passar pares de nome/valor <wp option> arbitrários diretamente para a função update option(). Ao manipular opções como users can register e default role, um invasor pode permitir o auto-registro aberto de contas de Administrador, levando ao controle total do site. Isso ocorre porque a função de Gerente de Loja possui a capacidade import, concedendo acesso ao fluxo do Importador do WordPress.

Recomendações Atualize para uma versão posterior à 4.9.4.