CVE-2026-3552 in SurfLink Plugin
Riassunto
di VulDB • 11/07/2026
Il plugin SurfLink - Ultimate Link Manager per WordPress è vulnerabile a modifiche non autorizzate dei dati a causa di un controllo delle capacità mancante sulla funzione ajax_import_410() in tutte le versioni fino alla 2.6.0. Ciò è dovuto all'assenza del controllo delle capacità (current_user_can()) e della verifica nonce (check_ajax_referer()) nella funzione ajax_import_410(), mentre tutti gli altri handler AJAX nella stessa classe (ajax_add_single_410, ajax_save_editted_410, ajax_delete_410, ajax_bulk_410_delete, ajax_empty_410, ajax_export_410) implementano correttamente sia i controlli di autorizzazione che quelli nonce. Ciò consente agli attaccanti autenticati, con accesso a livello di Sottoscrittore (Subscriber) e superiore, di importare URL arbitrari nella tabella del database 410 Gone tramite l'azione AJAX surfl_import_410. Gli URL iniettati causeranno la restituzione da parte del sito delle risposte HTTP 410 Gone a tutti i visitatori che accedono a quei percorsi, potenzialmente causando un denial of service per le pagine legittime e danni al SEO attraverso l'eliminazione dai motori di ricerca (delisting).
If you want to get best quality of vulnerability data, you may have to visit VulDB.