PT-2026-42391 · WordPress · Broadstreet

Poystick + 1 · Publicado 2026-05-21 · Atualizado 2026-05-21 · CVE-2026-1881

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Broadstreet plugin for WordPress versões anteriores a 1.52.3

Descrição O plugin contém um problema de Insecure Direct Object Reference (IDOR), que ocorre quando uma aplicação fornece acesso direto a objetos com base em entradas fornecidas pelo usuário. Esta falha existe na ação AJAX 'get sponsored meta' devido à falta de validação em uma chave controlada pelo usuário. Atacantes autenticados com nível de acesso de Assinante (Subscriber) ou superior podem explorar isso para expor metadados de postagens privadas.

Recomendações Atualize o plugin para uma versão posterior a 1.52.2. Como medida paliativa temporária, restrinja o acesso à ação AJAX 'get sponsored meta' para minimizar o risco de exploração.

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2026-1881

Produtos afetados

Broadstreet

Referências · 7

• https://t.me/CVEtracker/54452 · Publicação no Telegram
• https://plugins.trac.wordpress.org/changeset?old_path=%2Fbroadstreet/tags/1.52.2&new_path=%2Fbroadstreet/tags/1.53.2 · Nota
• https://t.me/cveNotify/164324 · Publicação no Telegram
• https://twitter.com/infoflowcloud/status/2057408827310420205 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2057407795423572052 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-1881 · Nota de Segurança
• https://wordfence.com/threat-intel/vulnerabilities/id/328ccf8f-797b-4b1a-b0f1-afd8e44f41e6?source=cve · Nota