DynamiApps Frontend Admin <= 3.28.20 - Unauthenticated Arbitrary Options Update

DynamiApps Frontend Admin plugin for WordPress .= 3.28.20 contains a broken access control vulnerability caused by insufficient capability checks and input validation in ActionOptions::run save handler, letting unauthenticated attackers modify critical WordPress options via crafted form data. id:...

WordPress Image Hover Ultimate - Unauthenticated Settings Update

Unauthenticated Arbitrary Options Update vulnerability leading to full website compromise discovered in Image Hover Effects Ultimate versions = 9.6.1 WordPress plugin. id: CVE-2021-36888 info: name: WordPress Image Hover Ultimate - Unauthenticated Settings Update author: riteshs4hu severity:...

CVE-2025-5701

CVE-2025-5701 HyperComments = 1.2.2 - Aggiornamento arbitrario delle opzioni non autenticato Subscriber+ Descrizione Il plugin HyperComments per WordPress è vulnerabile a modifiche non autorizzate dei dati che possono portare a un'escalation dei privilegi a causa di una mancata verifica delle...

CVE-2024-54379

CVE-2024-54379 Minterpress = 1.0.5 – Fehlende Autorisierung für authentifizierte Abonnent+ Benutzer führt zu beliebigen Options-Updates Beschreibung Das Minterpress-Plugin für WordPress ist anfällig für unbefugte Datenänderungen, die zu einer Privilegienausweitung führen können, da in allen...

CVE-2024-50476

CVE-2024-50476 GRÜN spendino Spendenformular = 1.0.1 - Atualização Arbitrária de Opções Não Autenticada Descrição: O plugin GRÜN spendino Spendenformular – Mehr Spenden! Weniger Arbeit! para WordPress é vulnerável a modificação não autorizada de dados que pode levar à escalada de privilégios devi...

CVE-2025-2266

🚨 CVE-2025-2266 — 워드프레스 플러그인 익스플로잇 🔍 취약점 요약 워드프레스용 Checkout Mestres do WP for WooCommerce 플러그인은 8.6.5부터 8.7.5까지의 버전에서 인증되지 않은 임의 옵션 업데이트 취약점 의 영향을 받습니다. 취약한 함수 cwmpUpdateOptions는 적절한 권한 검사를 수행하지 않아 인증되지 않은 공격자 가 임의의 워드프레스 옵션을 업데이트할 수 있게 합니다. ⚠️ 위험 및 악용 공격자는 다음을 수행할 수 있습니다: 사용자 등록 활성화 기본 역할을...

CVE-2025-13342

CVE-2025-13342 Frontend Admin di DynamiApps - ----/| |/ ----| \ ||/ / / / //// |// |/...

agency-toolkit-1023-missing-authorization-to-unauthenticated-arbitrary-options-update

NoCVE Agency Toolkit = 1.0.23 - Autorizzazione mancante per aggiornamento arbitrario delle opzioni senza autenticazione Descrizione Il plugin Agency Toolkit per WordPress è vulnerabile alla modifica non autorizzata dei dati che può portare a un'escalation dei privilegi a causa della mancanza di u...

CVE-2025-13342

CVE-2025-13342 PoC O plugin Frontend Admin da DynamiApps para WordPress é vulnerável à modificação não autorizada de opções arbitrárias do WordPress em todas as versões até, e incluindo, 3.28.20. Isso permite que atacantes registrem usuários e definam a função padrão como administrador. A...

CVE-2024-4898-Poc

CVE-2024-4898-Poc CVE-2024-4898 InstaWP Connect – 1-Klick-WP-Staging & Migration = 0.1.0.38 - Fehlende Autorisierung für nicht authentifizierte API-Einrichtung/willkürliche Optionen-Aktualisierung/Erstellung eines Administrator-Benutzers...

CVE-2024-5326-Poc

CVE-2024-5326 CVE-2024-5326 Post Grid Gutenberg Blocks e Plugin Blog WordPress – PostX = 4.1.2 - Autorizzazione Mancante per l'Aggiornamento Arbitrario delle Opzioni Descrizione Il plugin Post Grid Gutenberg Blocks and WordPress Blog Plugin – PostX per WordPress è vulnerabile a modifiche non...

CVE-2024-54378

CVE-2024-54378 Quietly Insights = 1.2.2 - Autorizzazione Mancante ad Aggiornamento Arbitrario delle Opzioni per Utenti Autenticati Subscriber+ Descrizione Il plugin Quietly Insights per WordPress è vulnerabile a modifiche non autorizzate dei dati che possono portare a escalation dei privilegi a...

CVE-2023-6700

CVE-2023-6700 Cookie Information | Free GDPR Consent Solution = 2.0.22 - Authentifiziert Subscriber+ Beliebige Optionen aktualisieren Beschreibung: Das Plugin Cookie Information | Free GDPR Consent Solution für WordPress ist anfällig für beliebige Option-Updates aufgrund einer fehlenden...

CVE-2024-5326-Poc

CVE-2024-5326 CVE-2024-5326 Post Grid Gutenberg Blocks e WordPress Blog Plugin – PostX = 4.1.2 - Autorizzazione mancante per l'aggiornamento arbitrario delle opzioni Descrizione Il plugin Post Grid Gutenberg Blocks e WordPress Blog Plugin – PostX per WordPress è vulnerabile a modifiche non...

CVE-2024-50490

CVE-2024-50490 PegaPoll = 1.0.2 - Nicht authentifizierte Aktualisierung beliebiger Optionen Beschreibung: Das PegaPoll-Plugin für WordPress ist anfällig für eine unbefugte Änderung von Daten, die zu einer Rechteausweitung führen kann, da in allen Versionen bis einschließlich 1.0.2 eine...

CVE-2024-22145

CVE-2024-22145 InstaWP Connect = 0.1.0.8 - Autorizzazione mancante per aggiornamento arbitrario delle opzioni Subscriber+ Descrizione: Il plugin InstaWP Connect – 1-click WP Staging & Migration per WordPress è vulnerabile a modifiche non autorizzate dei dati a causa di un controllo di capacità...

CVE-2026-75860 JSON Options <= 0.0.4 - Unauthenticated Arbitrary Options Update

The JSON Options WordPress plugin through 0.0.4 does not have any capability check or nonce verification on one of its actions, which runs on every request and is available to unauthenticated users, allowing them to update arbitrary WordPress options. This can be leveraged to enable user...

CVE-2026-75860

The JSON Options WordPress plugin (versions through 0.0.4) exposes an unauthenticated action on every request without capability checks or nonce verification, allowing arbitrary option updates. An attacker can enable user registration and set the default role to administrator, achieving privilege...

CVE-2026-1934

The Motors – Car Dealership & Classified Listings plugin for WordPress is vulnerable to Payment Bypass via insecure user meta update in all versions up to, and including, 1.4.103 This is due to the stmsaveuserextrafields function updating sensitive user meta fields from POST data without verifyin...

CVE-2026-6897

The Wishlist Member plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on the 'WishListMember\Features\TeamAccounts::savesettings' function in all versions up to, and including, 3.30.1. This makes it possible for authenticated attackers, with...