PT-2026-22478 · WordPress · Wpforo Forum

Scott Moore · Publicado 2026-02-28 · Atualizado 2026-03-04 · CVE-2026-28557

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas wpForo Forum versão 2.4.14

Descrição Existe uma vulnerabilidade no wpForo Forum que permite a usuários autenticados realizar a reatribuição em massa de grupos de usuários do wpForo. Isso é possível devido à ausência de uma verificação de capacidades no handler AJAX wpforo synch roles. Um atacante pode obter um nonce da página de administração de grupos de usuários, que é acessível a qualquer usuário autenticado, e então remapear todos os grupos de usuários do wpForo para funções arbitrárias do WordPress. O componente vulnerável é o handler wpforo synch roles.

Recomendações Atualize para uma versão mais recente que contenha uma correção para esta vulnerabilidade. Como medida paliativa temporária, restrinja o acesso ao handler AJAX wpforo synch roles até que um patch esteja disponível.

Correção

LPE

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2026-28557

Produtos afetados

Wpforo Forum

Referências · 8

• https://wordpress.org/plugins/wpforo/#developers · Correção
• https://osv.dev/vulnerability/CVE-2026-28557 · Aviso do Fabricante
• https://vulncheck.com/advisories/wpforo-forum-privilege-escalation-via-role-synchronization-handler · Nota
• https://t.me/cveNotify/154058 · Publicação no Telegram
• https://wordpress.org/plugins/wpforo · Nota
• https://t.me/cveNotify/153649 · Publicação no Telegram
• https://t.me/CVEtracker/46045 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-28557 · Nota de Segurança