PT-2026-34310 · WordPress · Fast & Fancy Filter – 3F

Publicado 2026-04-22 · Atualizado 2026-05-01 · CVE-2026-6396

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N

Name of the Vulnerable Software and Affected Versions Fast & Fancy Filter – 3F plugin for WordPress versões anteriores a 1.2.3

Description O Cross-Site Request Forgery ocorre devido a a falta de verificação de nonce na função saveFields(), que processa a ação AJAX 'fff save settins'. Isso permite que atacantes não autenticados modifiquem as configurações de filtro do plugin, atualizem opções arbitrárias ou criem novas postagens de filtro ao enganar um administrador do site para clicar em um link.

Recommendations Atualize o plugin para uma versão posterior a 1.2.2. Como medida paliativa temporária, restrinja o acesso à função saveFields() até que a atualização seja aplicada.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2026-6396

Produtos afetados

Fast & Fancy Filter – 3F

Referências · 9

• https://plugins.trac.wordpress.org/browser/fast-fancy-filter-3f/tags/1.2.2/includes/admin/class-admin.php#L419 · Nota
• https://twitter.com/VulmonFeeds/status/2046899551580164561 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/fast-fancy-filter-3f/trunk/includes/admin/class-admin.php#L24 · Nota
• https://plugins.trac.wordpress.org/browser/fast-fancy-filter-3f/trunk/includes/admin/class-admin.php#L419 · Nota
• https://reddit.com/r/StopBadBots/comments/1t0qbbs/critical_alert_20_unpatched_wordpress · Publicação no Reddit
• https://wordfence.com/threat-intel/vulnerabilities/id/4b5fbf2c-1231-482f-b5a5-819f31da3524?source=cve · Nota
• https://twitter.com/CVEnew/status/2047428130852450496 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/fast-fancy-filter-3f/tags/1.2.2/includes/admin/class-admin.php#L24 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-6396 · Nota de Segurança