Vulnerabilidades de Infused Addons
CVEs publicadas que afetam produtos de Infused Addons: 5 registro(s), com severidade, exploração e correções.
CVE-2026-19892
Alta · 8.8
CWE-862 25/08/2026
InfusedWoo Pro <= 5.1.18 - Authenticated (Subscriber+) Privilege Escalation via Password Reset Link Disclosure
The InfusedWoo Pro plugin for WordPress is vulnerable to Privilege Escalation via Account Takeover in all versions up to, and including, 5.1.17. This is due to a missing capability check in the `ajax_iwar_preview_email()` function, which uses `is_admin()` as its only authorization check and allows low-privilege users to render email preview merge fields for an arbitrary email address. This makes it possible for authenticated attackers, with subscriber-level access and above, to generate and retrieve a valid password reset link for any WordPress user, including administrators, enabling account takeover.
CVE-2026-6514
Alta · 7.5
CWE-918 14/05/2026
InfusedWoo Pro <= 5.1.2 - Unauthenticated Arbitrary File Read via 'url' Parameter
The InfusedWoo Pro plugin for WordPress is vulnerable to Arbitrary File Read in all versions up to, and including, 5.1.2 via the popup_submit. This makes it possible for unauthenticated attackers to make web requests to arbitrary locations originating from the web application and can be used to query and modify information from internal services.
CVE-2026-6512
Crítica · 9.1
CWE-862 14/05/2026
InfusedWoo Pro - Falta de Autorização (CWE-862) Permite Exclusão de Posts sem Autenticação
O plugin InfusedWoo Pro para WordPress é vulnerável a bypass de autorização em todas as versões até a 5.1.2 inclusive. Isso ocorre porque o plugin não verifica adequadamente se o usuário está autorizado a executar uma ação. Isso torna possível que atacantes não autenticados excluam permanentemente posts, páginas, produtos ou pedidos arbitrários, excluam em massa todos os comentários de qualquer post e alterem o status de qualquer post.
CVE-2026-6510
Crítica · 9.8
CWE-862 14/05/2026
InfusedWoo Pro para WordPress: Falta de Autorização com Escalonamento de Privilégios
O plugin InfusedWoo Pro para WordPress está vulnerável a escalonamento de privilégios por falta de autorização em todas as versões até e incluindo a 5.1.2. Isso se deve à ausência de verificação de nonce e de verificações de capacidade no manipulador AJAX iwar_save_recipe(). Isso torna possível que atacantes não autenticados criem uma receita de automação maliciosa que combina um gatilho de HTTP post com uma ação de login automático, permitindo que qualquer visitante não autenticado acesse uma URL elaborada e receba cookies de autenticação de qualquer conta de usuário alvo (por exemplo, administrador), obtendo bypass completo de autenticação e escalonamento de privilégios.
CVE-2026-6506
Alta · 8.8
CWE-862 14/05/2026
InfusedWoo Pro <= 5.1.2 - Authenticated (Subscriber+) Missing Authorization to Privilege Escalation via Arbitrary User Meta Update
The InfusedWoo Pro plugin for WordPress is vulnerable to privilege escalation in all versions up to, and including, 5.1.2. This is due to the infusedwoo_gdpr_upddata() function missing authorization and capability checks, as well as lacking restrictions on which user meta keys can be updated. This makes it possible for authenticated attackers, with subscriber-level access and above, to update their own wp_capabilities user meta to grant themselves Administrator role privileges.