PT-2026-57407 · WordPress · Cost Calculator Builder

Oper999 · Publicado 2026-07-11 · Atualizado 2026-07-11 · CVE-2026-10865

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Cost Calculator Builder versões anteriores a 4.0.12

Description A exposição de informações sensíveis ocorre através do corpo do template quando a opção 'use in all calculators' está ativada para um ou mais gateways de pagamento nas configurações globais. Atacantes não autenticados podem extrair a chave secreta do Stripe, a chave secreta do Razorpay e o client secret do PayPal em texto simples do código-fonte de qualquer página que contenha uma calculadora, permitindo o controle total das contas do gateway de pagamento do comerciante.

Recommendations Atualize para a versão 4.0.12 ou posterior. Desative a opção 'use in all calculators' para gateways de pagamento nas configurações globais como uma medida de mitigação temporária.

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

CVE-2026-10865

Produtos afetados

Cost Calculator Builder

Referências · 13

• https://plugins.trac.wordpress.org/browser/cost-calculator-builder/tags/3.6.17/templates/frontend/render.php#L28 · Nota
• https://plugins.trac.wordpress.org/browser/cost-calculator-builder/tags/4.0.5/templates/frontend/render.php#L61 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/29de766d-5e7e-46b4-acac-feec5b33589e?source=cve · Nota
• https://plugins.trac.wordpress.org/browser/cost-calculator-builder/tags/3.6.17/templates/frontend/render.php#L61 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-10865 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/cost-calculator-builder/tags/4.0.5/includes/functions.php#L748 · Nota
• https://plugins.trac.wordpress.org/browser/cost-calculator-builder/tags/3.6.17/includes/functions.php#L748 · Nota
• https://plugins.trac.wordpress.org/browser/cost-calculator-builder/tags/3.6.17/templates/frontend/render.php#L281 · Nota
• https://plugins.trac.wordpress.org/changeset?reponame=&old=3578557%40cost-calculator-builder&new=3578557%40cost-calculator-builder · Nota
• https://plugins.trac.wordpress.org/browser/cost-calculator-builder/tags/4.0.5/templates/frontend/render.php#L281 · Nota
• https://twitter.com/infoflowcloud/status/2075871710071407072 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2075869782604161458 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/cost-calculator-builder/tags/4.0.5/templates/frontend/render.php#L28 · Nota