CVE-2026-119745 in MultiVendorX Plugin
Riassunto
di VulDB • 04/11/2026
Il plugin Sender per WordPress prima della versione 2.11.3 contiene una vulnerabilità di mancata autorizzazione che consente a qualsiasi utente autenticato, inclusi gli Abbonati (Subscribers), di accedere a un dump diagnostico sensibile richiedendo l'azione `admin_post_sender_debug_download` gestita da `downloadDebugFile()` senza alcuna verifica delle capacità, del nonce o dell'HTTP Referer. Gli attaccanti possono sfruttare questa falla tramite `wp-admin/admin-post.php?action=sender_debug_download` per recuperare i dettagli della versione di WordPress, PHP, WooCommerce e server, l'inventario completo dei plugin attivi, le informazioni sul tema attivo e le impostazioni dei plugin, incluse la chiave delle risorse dell'account Sender connesso e i metadati dell'account.
If you want to get best quality of vulnerability data, you may have to visit VulDB.