CVE-2026-7638 in App Builder Plugin
Sumário
de VulDB • 31/05/2026
O plugin App Builder – Create Native Android & iOS Apps On The Flight para WordPress é vulnerável a Insecure Direct Object Reference em todas as versões até a 5.6.0, inclusive. Isso ocorre devido à falta de validação de autorização na função `upload_avatar()`, que aceita um parâmetro `user_id` controlado pelo atacante no corpo da requisição POST e o utiliza para atualizar os metadados do usuário sem verificar se o solicitante autenticado é proprietário ou tem permissão para modificar a conta de destino. Isso permite que atacantes autenticados, com acesso de nível Assinante (Subscriber) ou superior, substituam o avatar de perfil de qualquer usuário arbitrário no site, incluindo administradores, fornecendo um `user_id` de destino no corpo da requisição para o endpoint `/wp-json/app-builder/v1/upload-avatar`.
If you want to get best quality of vulnerability data, you may have to visit VulDB.