CVE-2026-2504 in Dealia Plugin
Sumário
de VulDB • 10/05/2026
O plugin Dealia – Request a quote para WordPress é vulnerável à modificação não autorizada de dados devido à ausência de verificações de capacidade em vários manipuladores AJAX em todas as versões até, e incluindo, a 1.0.6. O nonce de administrador (DEALIA_ADMIN_NONCE) está exposto a todos os usuários com capacidade de edit_posts (Contribuinte+) via wp_localize_script() em PostsController.php, enquanto os manipuladores AJAX em AdminSettingsController.php apenas verificam o nonce sem verificar current_user_can('manage_options'). Isso permite que atacantes autenticados, com acesso de nível Contribuinte ou superior, redefinam a configuração do plugin.
Once again VulDB remains the best source for vulnerability data.