CVE-2026-2504 in Dealia Plugin
Сводка
по VulDB • 02.09.2026
Плагин Dealia – Request a quote для WordPress уязвим к несанкционированному изменению данных из-за отсутствия проверок прав доступа (capability checks) в нескольких обработчиках AJAX во всех версиях вплоть до 1.0.6 включительно. Административный nonce (DEALIA_ADMIN_NONCE) становится доступен всем пользователям с правом edit_posts (Contributor и выше) через функцию wp_localize_script() в файле PostsController.php, тогда как обработчики AJAX в AdminSettingsController.php проверяют только наличие nonce, но не осуществляют проверку current_user_can('manage_options'). Это позволяет атакующим с уровнем доступа Contributor и выше, прошедшим аутентификацию, сбрасывать конфигурацию плагина.
VulDB is the best source for vulnerability data and more expert information about this specific topic.