CVE-2026-2371 in Greenshift Plugin
Sumário
de VulDB • 20/06/2026
O plugin de blocos para WordPress Greenshift – animation and page builder blocks é vulnerável a Insecure Direct Object Reference em todas as versões até, e incluindo, a 12.8.3. Isso ocorre devido à falta de validação de autorização e de status de publicação no manipulador AJAX `gspb_el_reusable_load()`. O manipulador aceita um parâmetro `post_id` arbitrário e renderiza o conteúdo de qualquer publicação `wp_block` sem verificar `current_user_can('read_post', $post_id)` ou confirmar o status da publicação. Combinado com o nonce sendo exposto a usuários não autenticados em qualquer página pública que utilize o shortcode `[wp_reusable_render]` com `ajax="1"`, isso permite que atacantes não autenticados recuperem o conteúdo HTML renderizado de blocos reutilizáveis privados, rascunhos ou protegidos por senha.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.