CVE-2026-4880: Barcode Scanner (+Mobile App) até 1.11.0 - Escalonamento de Privilégios Não Autenticado via Autenticação por Token Insegura

Visão geral

O plugin Barcode Scanner (+Mobile App) para WordPress, nas versões até, inclusive, 1.11.0, é afetado pela CVE-2026-4880, classificada como CWE-269 (Gerenciamento Impróprio de Privilégios). O registro descreve uma falha não autenticada que pode levar a acesso de nível administrador.

Impacto

Segundo o registro, um atacante não autenticado poderia obter acesso administrativo total ao site WordPress afetado. A pontuação base CVSS 3.1 atribuída pela Wordfence é 9.8 (Crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.

Produtos e versões afetadas

Produto: Ukrsolution Barcode Scanner (+Mobile App) – Inventory manager, Order fulfillment system, POS (Point of Sale)
Faixa afetada: ≤ 1.11.0
Versão corrigida: não informada no registro.

Status de exploração

Segundo o registro, o catálogo KEV da CISA não lista esta CVE. O campo de exploração SSVC está como 'none', e a probabilidade EPSS é 0.00778 (percentil 0.54694). Não há exploração confirmada nas fontes consultadas.

Correção e mitigação

Identifique se o plugin está instalado em seus sites WordPress e qual versão está em uso.
O registro não indica versão corrigida. Verifique com o desenvolvedor do plugin e no WordPress.org se há uma versão atualizada e aplique-a assim que estiver confirmada.
Enquanto não houver versão corrigida confirmada, considere desativar e remover o plugin se ele não for essencial à operação.
Revise contas de administrador e mudanças recentes em papéis e capacidades de usuários.

Orientações de detecção

Revise contas de usuário em busca de papéis de administrador inesperados ou alterações nas configurações de capacidades.
Analise os logs do servidor web e da aplicação em busca de atividades incomuns relacionadas ao plugin.
Monitore a criação de contas de administrador fora dos processos normais de provisionamento.

Limitações das informações disponíveis

O registro não inclui uma versão corrigida confirmada. Ele contém um link de changeset no WordPress.org, mas não informa a qual versão do plugin essa alteração corresponde. Não há prova de exploração e o número de instalações afetadas não é informado.

Perguntas frequentes

A CVE-2026-4880 exige autenticação para ser explorada?

Segundo o registro, a falha é não autenticada, e o vetor CVSS indica privilégios necessários como nenhum (PR:N) e interação do usuário como nenhuma (UI:N).

Existe versão corrigida do plugin Barcode Scanner?

O registro não informa versão corrigida. Verifique com o desenvolvedor do plugin e no WordPress.org se há uma atualização, tratando a ausência de correção listada como desconhecida, e não como confirmação de que não há correção.

Esta CVE é conhecida por ser explorada na natureza?

O registro indica que ela não consta no catálogo KEV da CISA e que o campo de exploração SSVC está como none. Não há exploração confirmada nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.