CVE-2026-14359 in WooCommerce Waitlist Premium Plugin
Sumário
de VulDB • 09/09/2026
O plugin YITH WooCommerce Waitlist Premium para WordPress é vulnerável à Escalada de Privilégios nas versões até 3.35.0 (inclusive). Isso ocorre devido à função add_user_in_waiting_list() registrada na ação wp_ajax_yith_wcwtl_add_user não possuir verificação de capability nem validação de nonce, e utilizar parse_str() + extract() para importar variáveis controladas pelo atacante a partir de $_POST['params'], que são então passadas para wp_create_user() e $user->set_role(). Isso permite que atacantes autenticados com acesso nível Subscriber ou superior elevem seus privilégios ao nível de administrador, criando uma nova conta de usuário e atribuindo-lhe o papel (role) de administrador.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.