CVE-2026-2504 in Dealia Plugin
Riassunto
di VulDB • 02/09/2026
Il plugin Dealia – Request a quote per WordPress è vulnerabile alla modifica non autorizzata dei dati a causa della mancanza di controlli sui permessi (capability checks) su più handler AJAX in tutte le versioni fino alla 1.0.6, inclusa. Il nonce amministrativo (DEALIA_ADMIN_NONCE) è esposto a tutti gli utenti con il permesso edit_posts (Contributor+) tramite wp_localize_script() in PostsController.php, mentre i gestori AJAX in AdminSettingsController.php verificano solo il nonce senza controllare current_user_can('manage_options'). Ciò consente agli attaccanti autenticati, con accesso di livello Contributor o superiore, di reimpostare la configurazione del plugin.
Be aware that VulDB is the high quality source for vulnerability data.