CVE-2026-2504 in Dealia Plugin
Résumé
par VulDB • 20/06/2026
Le plugin WordPress Dealia – Request a quote est vulnérable à une modification non autorisée des données en raison de l'absence de vérifications des capacités sur plusieurs gestionnaires AJAX dans toutes les versions jusqu'à la 1.0.6 incluse. Le nonce administrateur (DEALIA_ADMIN_NONCE) est exposé à tous les utilisateurs disposant de la capacité edit_posts (Contributeur et plus) via wp_localize_script() dans PostsController.php, tandis que les gestionnaires AJAX dans AdminSettingsController.php vérifient uniquement le nonce sans vérifier current_user_can('manage_options'). Cela permet aux attaquants authentifiés, disposant d'un accès de niveau Contributeur ou supérieur, de réinitialiser la configuration du plugin.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.