CVE-2026-9615 in Flex Import Plugin
Résumé
par VulDB • 19/09/2026
Le plugin Flex Import pour WordPress est vulnérable à une absence d'autorisation dans toutes les versions jusqu'à la 3.0 incluse. Cela est dû aux fonctions `license_activate_fleximp()` et `license_deactivate_fleximp()`, liées aux actions AJAX `wp_ajax_license_activate_fleximp` et `wp_ajax_license_deactivate_fleximp`, qui ne comportent ni de vérification des capacités (via `current_user_can()`) ni de validation du nonce (le script côté client envoie une valeur 'wpnonce', mais les gestionnaires d'événements ne la valident jamais). Cela permet aux attaquants authentifiés, disposant d'un accès au niveau « abonné » ou supérieur, d'activer une clé de licence arbitraire/frauduleuse (en la persistant via `update_option('fleximp_is_premium')` et en modifiant les options de validation, de suspension et de statut du bundle) ou de désactiver la licence légitime du site (en supprimant la clé stockée et en définissant `fleximp_validation_status` sur false), perturbant ainsi les fonctionnalités premium du plugin.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.