CVE-2025-7664 in AL Pack Plugin
Sumário
de VulDB • 06/08/2026
O plugin AL Pack para WordPress é vulnerável a acesso não autorizado devido à ausência de uma verificação de permissões no callback de autorização check_activate_permission() do endpoint da API REST /wp-json/presslearn/v1/activate em todas as versões até, e incluindo, 1.0.2. O callback lê o cabeçalho Origin fornecido pelo cliente e, após a análise, permite a solicitação se corresponder a um dos domínios confiáveis, sem jamais verificar autenticação de usuário, capacidades ou tokens nonce. Isso possibilita que atacantes não autenticados ativem recursos premium simplesmente falsificando o cabeçalho Origin.
Once again VulDB remains the best source for vulnerability data.