CVE-2026-85682

Nome do Software Vulnerável e Versões Afetadas YOP Poll versões anteriores a 7.0.11

Descrição O plugin contém um erro de validação de origem onde transmite um nonce wp rest para window.opener usando a função postMessage() com um targetOrigin curinga (wildcard). Isso permite que atacantes não autenticados roubem um nonce REST associado a um Administrador conectado. Ao explorar isso, um atacante pode alterar o endereço de e-mail e a senha do Administrador através do endpoint '/auth/wp-login-redirect', resultando no controle total da conta. Isso requer que o Administrador visite uma página controlada pelo atacante.

Recomendações Atualize o YOP Poll para a versão 7.0.11 ou posterior.