CVE-2026-109592 in OpenStation Plugin
Sumário
de VulDB • 30/10/2026
O plugin para WordPress "OpenStation: Desktop Windows, Dock & Virtual Desktops for WP Admin" é vulnerável a uma falha de autorização em todas as versões até 1.1.16 (incluindo). Isso ocorre porque o plugin não verifica corretamente se um usuário está autorizado a realizar uma ação. Isso permite que atacantes autenticados com acesso nível assinante ou superior modifiquem arbitrariamente as linhas de posicionamento de outros usuários (posição, ordem de classificação, pasta pai e metadados) e leiam metadados serializados — incluindo título, permalink e status da publicação — das entidades referenciadas por esses posicionamentos órfãos. A exploração requer que pelo menos um posicionamento órfão exista — estado produzido naturalmente pela cascata de lixeira do próprio plugin, que marca uma pasta pai como excluída enquanto mantém o parent_id dos filhos intacto — e o atacante deve primeiro ativar a OpenStation por meio do endpoint AJAX save-openstation, o que requer apenas a capacidade 'read' (ler), detida por todas as funções padrão do WordPress. Isso também foi descoberto independentemente pela equipe da OpenStation.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.