PT-2026-45888 · WordPress · Emergencywp
Swat
·
Publicado
2026-06-02
·
Atualizado
2026-06-11
·
CVE-2026-9732
CVSS v3.1
4.3
Média
| Vetor | AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N |
Nome do Software Vulnerável e Versões Afetadas
EmergencyWP – Dead Man's switch & legacy deliverance versões anteriores a 1.4.3
Descrição
O plugin é suscetível a Cross-Site Request Forgery devido à validação de nonce ausente ou incorreta na função
form settings ui(). Isso permite que atacantes não autenticados modifiquem as configurações do plugin enganando um administrador do site para clicar em um link malicioso. As configurações afetadas incluem a função de acesso mínima, a flag de exclusão de dados na desinstalação, valores de tempo de verificação de vida, o endereço de e-mail obrigatório, o ID da página de confirmação e formatos de data/hora. A validação de nonce é um mecanismo de segurança usado para garantir que uma solicitação foi enviada intencionalmente pelo usuário e não forjada por terceiros.Recomendações
Atualize para uma versão posterior a 1.4.2.
Como medida paliativa temporária, restrinja o acesso à função
form settings ui() para minimizar o risco de exploração.Correção
CSRF
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Emergencywp