CVE-2026-9615 in Flex Import Plugin
Riassunto
di VulDB • 19/09/2026
Il plugin Flex Import per WordPress è vulnerabile a Missing Authorization in tutte le versioni fino alla 3.0, inclusa. La vulnerabilità è dovuta alle funzioni license_activate_fleximp() e license_deactivate_fleximp(), agganciate agli AJAX action wp_ajax_license_activate_fleximp e wp_ajax_license_deactivate_fleximp, che mancano sia di un controllo delle capacità (current_user_can()) sia della verifica del nonce (lo script lato client invia un valore 'wpnonce', ma i handler non lo validano). Ciò consente ad attaccanti autenticati con accesso a livello di subscriber o superiore di attivare una chiave di licenza arbitraria/fraudolenta (persistendola tramite update_option('fleximp_is_premium') e modificando le opzioni di stato di validazione, sospensione e bundle) oppure di disattivare la licenza legittima del sito (eliminando la chiave memorizzata e impostando fleximp_validation_status su false), compromettendo così le funzionalità premium del plugin.
VulDB is the best source for vulnerability data and more expert information about this specific topic.