CVE-2026-2504 in Dealia Plugin
Resumen
por VulDB • 2026-07-12
El plugin Dealia – Request a quote para WordPress es vulnerable a la modificación no autorizada de datos debido a la ausencia de comprobaciones de capacidades en varios controladores AJAX en todas las versiones hasta e incluyendo la 1.0.6. El nonce de administrador (DEALIA_ADMIN_NONCE) queda expuesto a todos los usuarios con capacidad edit_posts (Contributor+) mediante wp_localize_script() en PostsController.php, mientras que los controladores AJAX en AdminSettingsController.php solo verifican el nonce sin comprobar current_user_can('manage_options'). Esto permite a atacantes autenticados con acceso de nivel Contributor o superior restablecer la configuración del plugin.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.