CVE-2026-12415: Invoice Generator (WordPress) - Verificação de Capacidade Ausente Permite Escalonamento de Privilégios
A CVE-2026-12415 afeta o plugin Invoice Generator para WordPress nas versões até e incluindo 1.0.0. Uma verificação de capacidade ausente em uma ação AJAX permite que usuários não autenticados alterem o endereço de e-mail de qualquer conta, incluindo administradores. A CNA Wordfence classifica a falha como crítica, com pontuação base CVSS 3.1 de 9.8, e não há exploração confirmada nas fontes consultadas.
Visão geral
O plugin Invoice Generator para WordPress apresenta ausência de verificação de capacidade na ação AJAX pravel_invoice_edit_account(). A fraqueza é classificada como CWE-269 (Gerenciamento impróprio de privilégios) e afeta versões até e incluindo 1.0.0. Detalhes da fonte estão no aviso da Wordfence e no código do plugin.
Impacto
- Segundo o registro, um atacante não autenticado poderia alterar o endereço de e-mail de qualquer usuário, incluindo administradores.
- O registro afirma que o e-mail alterado pode então ser usado com o fluxo padrão de redefinição de senha do WordPress para acessar a conta visada.
- A pontuação base CVSS 3.1 de 9.8 (Crítica), atribuída pela CNA, indica alto impacto em confidencialidade, integridade e disponibilidade, sem exigir privilégios nem interação do usuário.
Produtos e versões afetadas
- Plugin Invoice Generator para WordPress, versões até e incluindo 1.0.0.
- O registro não contém dados estruturados de versões afetadas ou corrigidas. As linhas de código referenciadas estão no trunk do invoice-creator.
Status de exploração
Segundo o registro, a CVE não consta no catálogo KEV da CISA. Não há exploração confirmada nas fontes consultadas.
Correção e mitigação
- O registro não identifica uma versão corrigida. Verifique a página oficial do plugin e os canais do fornecedor em busca de atualização e aplique-a quando disponível.
- Se não houver correção, desative e remova o plugin, ou restrinja o acesso ao endpoint AJAX afetado na camada da aplicação web.
- Revise contas de administradores e usuários em busca de alterações inesperadas de e-mail e confirme que os avisos de redefinição de senha chegam aos titulares corretos.
- Ative autenticação multifator para contas de administrador para reduzir o impacto do abuso de recuperação de conta.
Detecção
- Analise os logs do servidor web e do WordPress em busca de requisições não autenticadas ao endpoint AJAX administrativo que referenciem a ação pravel_invoice_edit_account.
- Audite alterações recentes de endereços de e-mail de usuários, principalmente de administradores, e correlacione-as com eventos de redefinição de senha.
- Gere alertas para redefinições de senha seguidas de logins a partir de origens desconhecidas.
Limitações das informações disponíveis
- O registro não fornece versão corrigida, status de patch confirmado pelo fornecedor nem o número de instalações.
- Os valores EPSS (probabilidade 0.00804, percentil 0.55607) estimam a probabilidade de exploração e não confirmam exploração observada.
- O alcance das implantações afetadas não é conhecido a partir do registro.
Perguntas frequentes
Quais versões do plugin Invoice Generator são afetadas?
O registro indica que as versões até e incluindo 1.0.0 são afetadas. Ele não informa uma versão corrigida.
Há exploração ativa conhecida desta vulnerabilidade?
O registro mostra que a CVE não consta no KEV da CISA, e não há exploração confirmada nas fontes consultadas.
O que os responsáveis pelos sites devem fazer agora?
Verifique com o fornecedor se há atualização, desative ou remova o plugin caso não exista correção, revise alterações de e-mail de contas e ative autenticação multifator para administradores.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.