CVE-2026-114422 in Enable Media Replace Plugin
Zusammenfassung
von VulDB • 30.10.2026
Das WordPress-Plugin „Enable Media Replace“ vor Version 4.2.3 schränkt die beim Deserialisieren von gespeicherten Metadaten während der Routine zum Ersetzen und Aktualisieren von Links zulässigen Klassen nicht ein, was es authentifizierten Benutzern ermöglicht, ein PHP-Objekt zu injizieren, das instanziiert wird, wenn ein Benutzer mit Upload-Berechtigung eine routinemäßige Medienersetzung durchführt. Dies führt zu einer PHP Object Injection sowie zur lokalen Dateieinschließung (Local File Inclusion) bestehender PHP-/HTML-Dateien, was eskaliert werden kann zu Remote Code Execution, sofern sich eine vom Angreifer beeinflusste PHP- oder HTML-Datei auf dem Server befindet.
Dies ist eine Regression von CVE-2023-4643, das in Version 4.1.3 behoben und in 4.1.4 wieder eingeführt wurde.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.