CVE-2026-91092

Nome do Software Vulnerável e Versões Afetadas wpForo Forum versões anteriores a 3.1.6

Descrição Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes autenticados com nível de acesso de assinante ou superior podem assumir o controle de uma postagem de fórum de um autor convidado para modificar o título, o corpo, o nome do autor e o endereço de e-mail do proprietário armazenado. Esta exploração ocorre através da ação wpforo post edit e requer um cookie comment author email forjado. O ataque só é possível se as funções de postagem e edição de convidados estiverem habilitadas e o atacante conhecer o endereço de e-mail do autor convidado alvo.

Recomendações Atualize o wpForo Forum para a versão 3.1.6 ou posterior. Como medida de mitigação temporária, desative os recursos de postagem e edição de convidados no fórum.