CVE-2026-19775

Nome do Software Vulnerável e Versões Afetadas OpenStation — Desktop Windows, Dock & Virtual Desktops for WP Admin versões anteriores a 1.1.8

Descrição Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes autenticados com nível de acesso personalizado ou superior podem acessar informações sensíveis, incluindo o título, status, data, permalink e um trecho de 300 caracteres de postagens privadas, rascunhos, pendentes ou futuras. Além disso, podem visualizar o conteúdo e os vereditos de moderação de IA de comentários de spam e não aprovados. Usuários com a capacidade 'read' podem ativar o recurso de IA necessário acessando o portal /openstation/ e modificando a variável ai.enabled através do endpoint POST /desktop-mode/v1/os-settings.

Recomendações Atualize o OpenStation — Desktop Windows, Dock & Virtual Desktops for WP Admin para a versão 1.1.8 ou posterior. Restrinja o acesso ao endpoint POST /desktop-mode/v1/os-settings para evitar que usuários não autorizados ativem o recurso de IA.