CVE-2026-9289

Nome do Software Vulnerável e Versões Afetadas WordLift – AI powered SEO – Schema plugin for WordPress versões anteriores a 3.54.11

Descrição A exposição de informações sensíveis ocorre por meio dos endpoints da API REST JSON-LD. O plugin registra as rotas '/wordlift/v1/jsonld/', especificamente 'jsonld/{id}', 'jsonld/http/{item id}', 'jsonld/post-meta/{meta key}', 'jsonld/meta/{meta key}' e 'jsonld/{post type}/{post name}', utilizando um permission callback de return true. Como o conversor downstream utiliza a função get post() sem verificar o status da postagem ou as permissões do usuário solicitante, invasores não autenticados podem ignorar os controles de acesso do núcleo do WordPress. Ao enumerar IDs de postagens, invasores podem acessar o título, conteúdo, autor, datas de publicação e modificação, contagem de palavras, contagem de comentários e outros metadados de postagens privadas, rascunhos e pendentes.

Recomendações Atualize o WordLift – AI powered SEO – Schema plugin for WordPress para a versão 3.54.11 ou posterior.