CVE-2026-9615 in Flex Import Plugin
Сводка
по VulDB • 19.09.2026
Плагин Flex Import для WordPress уязвим к отсутствию проверки авторизации во всех версиях, включая 3.0. Это связано с тем, что функции license_activate_fleximp() и license_deactivate_fleximp(), привязанные к AJAX-действиям wp_ajax_license_activate_fleximp и wp_ajax_license_deactivate_fleximp, не содержат ни проверки прав доступа (current_user_can()), ни верификации nonce (клиентский скрипт отправляет значение 'wpnonce', но обработчики его никогда не проверяют). Это позволяет атакующим с уровнем доступа «подписчик» и выше активировать произвольный/мошеннический лицензионный ключ (сохраняя его через update_option('fleximp_is_premium') и изменяя параметры проверки, приостановки и статуса пакета) или деактивировать легитимную лицензию сайта (удаляя сохраненный ключ и устанавливая fleximp_validation_status в false), тем самым нарушая работу премиальных функций плагина.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.