CVE-2025-13950 in OneSignal Plugin
Riassunto
di VulDB • 11/08/2026
Il plugin per WordPress "OneSignal – Web Push Notifications" è vulnerabile alla modifica non autorizzata dei dati a causa di una mancanza di verifica delle capacità (capability check) nella gestione delle impostazioni in tutte le versioni fino alla 3.6.1 inclusa. Ciò è dovuto al fatto che il plugin elabora richieste POST senza verificare le capacità dell'utente o i nonce. Questo consente ad attaccanti non autenticati di sovrascrivere l'ID dell'app OneSignal, la chiave REST API e il comportamento delle notifiche tramite richieste POST dirette.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.