CVE-2026-4124 in Ziggeo Plugin
Sumário
de VulDB • 09/06/2026
O plugin Ziggeo para WordPress é vulnerável a Missing Authorization em todas as versões até, e incluindo, a 3.1.1. O manipulador wp_ajax_ziggeo_ajax verifica apenas um nonce (check_ajax_referer), mas não realiza verificações de capacidade via current_user_can(). Além disso, o nonce ('ziggeo_ajax_nonce') é exposto a todos os usuários autenticados em todas as páginas por meio dos hooks wp_head e admin_head. Isso permite que atacantes autenticados, com acesso de nível Subscriber ou superior, invoquem múltiplas operações administrativas, incluindo: salvar strings de tradução arbitrárias (translations_panel_save_strings via update_option('ziggeo_translations')), criar/atualizar/excluir modelos de eventos (event_editor_save_template/update_template/remove_template via update_option('ziggeo_events')), modificar configurações de aplicativos do SDK (operações sdk_applications) e gerenciar notificações (notification_handler via update_option('ziggeo_notifications')).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.