PT-2026-20273 · WordPress · Url Shortify

Poystick + 1 · Publicado 2026-02-18 · Atualizado 2026-04-06 · CVE-2026-1277

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.7

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin URL Shortify para WordPress versões anteriores à 1.12.2

Descrição O plugin URL Shortify para WordPress está suscetível a uma vulnerabilidade de Redirecionamento Aberto (Open Redirect) em todas as versões até e incluindo a 1.12.1. Isso ocorre devido à validação inadequada do parâmetro redirect to dentro do manipulador de descarte de promocionais. Um atacante não autenticado pode explorar essa falha para redirecionar usuários para sites potencialmente maliciosos utilizando um link especialmente criado. O parâmetro vulnerável é o redirect to.

Recomendações Atualize o plugin URL Shortify para a versão 1.12.2 ou superior.

Correção

Open Redirect

Enumeração de Fraquezas

CWE-601

Identificadores relacionados

CVE-2026-1277

Produtos afetados

Url Shortify

Referências · 9

• https://twitter.com/CVEarity/status/2024034311130005623 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2023995919646011617 · Publicação no Twitter
• https://twitter.com/pdnuclei_bot/status/2033800539734217059 · Publicação no Twitter
• https://t.me/cveNotify/152273 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/url-shortify/tags/1.11.4/lite/includes/Promo.php#L64 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/c7c1dc51-47ca-4b2f-9ff9-275bd8b1c106?source=cve · Nota
• https://twitter.com/aviatrixtrc/status/2041190993135816871 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-1277 · Nota de Segurança
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&new=3451740%40url-shortify&old=3445491%40url-shortify&sfp_email=&sfph_mail=#file1049 · Nota