PT-2026-34309 · WordPress · Pagerank Display

Publicado 2026-04-22 · Atualizado 2026-04-25 · CVE-2026-6294

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N

Name of the Vulnerable Software and Affected Versions Google PageRank Display versões anteriores a 1.5

Description O Cross-Site Request Forgery ocorre devido a a falta de validação de nonce na função gpdisplay option(), que gerencia a página de configurações do plugin. O formulário de configurações não possui um wp nonce field() e o manipulador não chama check admin referer() ou wp verify nonce() antes de processar requisições POST. Isso permite que atacantes não autenticados enganem um administrador conectado para enviar uma requisição forjada para modificar as configurações do plugin armazenadas via update option(), como o estilo de exibição do selo PageRank.

Recommendations Atualize para uma versão posterior a 1.4.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2026-6294

Produtos afetados

Pagerank Display

Referências · 10

• https://wordfence.com/threat-intel/vulnerabilities/id/e39ebe27-7780-48b6-8dca-7da7a78fce69?source=cve · Nota
• https://plugins.trac.wordpress.org/browser/google-pagerank-display/trunk/gpdisplay.php#L56 · Nota
• https://twitter.com/VulmonFeeds/status/2046896990936555714 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2047012174074413085 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-6294 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/google-pagerank-display/tags/1.4/gpdisplay.php#L56 · Nota
• https://plugins.trac.wordpress.org/browser/google-pagerank-display/tags/1.4/gpdisplay.php#L32 · Nota
• https://plugins.trac.wordpress.org/browser/google-pagerank-display/trunk/gpdisplay.php#L32 · Nota
• https://twitter.com/infoflowcloud/status/2047013621322932695 · Publicação no Twitter
• https://twitter.com/atomicedgeWAF/status/2048002341769466242 · Publicação no Twitter