Atualize esta semana
NotificationX · plugin de notificações de vendas
Vulnerável: antes da 3.3.7Seguro: 3.3.7 ou superior
Um visitante sem login pode ler posts que ainda não foram publicados, privados ou protegidos por senha, e acionar recursos de outros plugins pelo site.
Você mesmo
- Atualizar o NotificationX para a 3.3.7 ou mais recente.
- Se houver rascunhos ou posts privados com informação sensível, considerar que podem ter sido lidos.
Seu dev ou hospedagem
- Revisar nos logs requisições de front-end com parâmetros de preview do NotificationX.
- Avaliar quais shortcodes registrados no site poderiam ser executados por visitantes.
Detalhes técnicos: No NotificationX antes da 3.3.7, o caminho de pré-visualização de notificações não verifica permissão, login nem nonce. Enviando dados de pré-visualização montados em qualquer requisição ao site, um visitante sem login consegue ler o conteúdo de posts privados, rascunhos, pendentes e protegidos por senha, além de executar shortcodes registrados (CVE-2026-119302, CVSS 6.5, WPScan, publicado em 09/11). A prova de conceito será divulgada em 23/11. Não há exploração confirmada.