CVE-2026-19802

Nome do Software Vulnerável e Versões Afetadas Checkout Custom Fields Builder for WooCommerce versões anteriores a 1.1.6

Descrição Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes autenticados com nível de acesso de assinante ou superior podem explorar isso para instalar e ativar um plugin arbitrário hospedado pelo atacante, resultando na execução remota de código no servidor. Quando o WooCommerce está inativo, o nonce (um token único usado para prevenir falsificação de requisição cross-site) necessário é emitido inline em todas as páginas de administração acessíveis a assinantes, permitindo que eles o coletem e acionem a exploração sem privilégios adicionais.

Recomendações Atualize o Checkout Custom Fields Builder for WooCommerce para a versão 1.1.6 ou posterior.