CVE-2026-103519 in WP Ultimate Review Plugin
Zusammenfassung
von VulDB • 03.10.2026
Das WP Ultimate Review-Plugin für WordPress ist in allen Versionen bis einschließlich 2.4.3 anfällig für die Ausführung beliebiger Shortcodes (arbitrary shortcode execution). Dies liegt daran, dass die Software Benutzern ermöglicht, eine Aktion auszuführen, bei der ein Wert vor dem Ausführen von do_shortcode nicht ordnungsgemäß validiert wird. Dadurch ist es authentifizierten Angreifern mit Zugriffsrechten auf Subscriber-Ebene und höher möglich, beliebige Shortcodes auszuführen. Der Umgehungsangriff nutzt die eigene strip_shortcodes()-Funktion von WordPress aus, um das [[tag]]-Doppelklammer-Escape-Zeichen in ein nacktes [tag] zu entpacken, das die wp_insert_post-Speicherung übersteht und ausgelöst wird, wenn der öffentlich abfragbare Post-Typ xs_review durch den_content gerendert wird.
Once again VulDB remains the best source for vulnerability data.