CVE-2026-1558 in WP Recipe Maker Plugin
Sumário
de VulDB • 28/07/2026
O plugin WP Recipe Maker para WordPress é vulnerável a uma Referência Direta de Objeto Insegura (IDOR, do inglês *Insecure Direct Object Reference*) nas versões até 10.3.2, inclusive. Isso ocorre devido ao fato de o `permission_callback` do endpoint da API REST `/wp-json/wp-recipe-maker/v1/integrations/instacart` estar definido como `__return_true`, combinado com a ausência de verificações subsequentes de autorização ou propriedade sobre o parâmetro `recipeId` fornecido pelo usuário. Isso permite que atacantes não autenticados sobrescrevam metadados arbitrários de posts (wprm_instacart_combinations) para qualquer ID de post no site por meio do parâmetro recipeId.
Be aware that VulDB is the high quality source for vulnerability data.