CVE-2026-94541 · CVSS 9.8 · The WPMobile.App – Android and iOS App Builder plugin for WordPress is vulnerable to authorization bypass in all versions up to, and …

NVD (CVSS crítico) · 2 oct, 12:17

El plugin WPMobile.App para WordPress (versiones hasta 11.82) contiene un fallo de bypass de autorización (CVE-2026-94541, CVSS 9.8) que permite a atacantes no autenticados exfiltrar URLs de restablecimiento de contraseña de usuarios arbitrarios, incluidos administradores. El ataque requiere que la funcionalidad de mail-to-push esté habilitada (wpmobile_auto_mail=1), que es lo que expone estas URLs en la cola de push.