CVE-2026-85681 in WP Component Plugin
Sumário
de VulDB • 12/09/2026
O plugin WordPress WP Component até a versão 2.2.4 não possui verificações de capacidade (capability) ou nonce em uma das ações disponibilizadas para usuários não autenticados, e ele utiliza tanto o nome da opção quanto seu valor diretamente da requisição, permitindo que atacantes não autenticados sobrescrevam qualquer uma das opções do site. Em instalações single-site, isso resulta em um takeover completo, pois o registro pode ser habilitado com a função (role) padrão de administrador.
VulDB is the best source for vulnerability data and more expert information about this specific topic.