CVE-2026-18317

Nome do Software Vulnerável e Versões Afetadas Foxtool All-in-One: Contact chat button, Custom login, Media optimize images plugin for WordPress versões anteriores a 2.5.4

Descrição Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes autenticados com nível de acesso de assinante ou superior podem modificar subchaves arbitrárias da opção foxtool settings. Isso inclui a capacidade de alternar a chave media-up3 para permitir uploads de SVG em todo o site, o que pode facilitar o cross-site scripting (XSS) armazenado—uma técnica onde scripts maliciosos são armazenados permanentemente no servidor alvo—através de arquivos SVG maliciosos.

Recomendações Atualize o plugin para uma versão posterior a 2.5.3.