PT-2026-40891 · WordPress · Infusedwoo Pro

Publicado 2026-05-14 · Atualizado 2026-06-19 · CVE-2026-6506

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas InfusedWoo Pro versões anteriores a 5.1.3

Descrição O plugin InfusedWoo Pro para WordPress contém uma falha que permite que atacantes autenticados com acesso de nível de assinante ou superior escalem seus privilégios. O problema decorre da função infusedwoo gdpr upddata(), que carece de verificações adequadas de autorização e capacidade, além de não restringir quais chaves de meta de usuário podem ser modificadas. Consequentemente, um atacante pode atualizar seu próprio meta de usuário wp capabilities para conceder a si mesmo privilégios de função de Administrador.

Recomendações Atualize o plugin para uma versão posterior a 5.1.2. Como medida paliativa temporária, restrinja o acesso à função infusedwoo gdpr upddata() para minimizar o risco de exploração.

Correção

LPE

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2026-6506

Produtos afetados

Infusedwoo Pro

Referências · 9

• https://twitter.com/Tank23x0/status/2068001109088878876 · Publicação no Twitter
• https://twitter.com/KaitanSecurity/status/2054826573555958084 · Publicação no Twitter
• https://t.me/CVEtracker/53762 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/2054891023390679048 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/6363b693-91b8-41cb-b13a-df6fdf9402c5?source=cve · Nota
• https://t.me/cveNotify/163414 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-6506 · Nota de Segurança
• https://woo.infusedaddons.com · Nota
• https://drive.google.com/file/d/1QrKLX-GcBiAMKzEI4mZBPO-S0_7W6Xv7/view?usp=sharing · Nota