CVE-2026-6433 in Custom css-js-php Plugin

الملخص

بحسب VulDB • 11/05/2026

لا يقوم المكوّن الإضافي لـ WordPress Custom css-js-php حتى الإصدار 2.0.7 بتنظيف مدخلات المستخدم بشكل صحيح قبل استخدامها في استعلام SQL، ويتم تمرير النتيجة إلى دالة eval()، مما يسمح للمستخدمين غير المصادق عليهم بتنفيذ أكواد PHP تعسفية على الخادم.

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

• مسؤول: WPScan
• حجز: 16/04/2026
• إفشاء: 11/05/2026
• الاعتدال: تمت الموافقة
• إدخال: VDB-362581
• CPE: جاهز
• CWE: CWE-94 (مؤكد)
• CVSS: 7.3 (VulDB)
• EPSS: 0.00966
• KEV: لا
• النشاطات: منخفض جدًا
• القطاع: Hostingprovider

المصادر

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-6433
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-6433
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-6433/