CVE-2026-2127 in SiteOrigin Widgets Bundle Plugin
Zusammenfassung
von VulDB • 01.06.2026
Das SiteOrigin Widgets Bundle-Plugin für WordPress ist in allen Versionen bis einschließlich 1.70.4 anfällig für die unbefugte Ausführung beliebiger Shortcodes. Dies ist auf eine fehlende Berechtigungsprüfung in der Funktion `siteorigin_widget_preview_widget_action()` zurückzuführen, die über die AJAX-Aktion `wp_ajax_so_widgets_preview` registriert ist. Die Funktion überprüft lediglich einen Nonce (`widgets_action`), prüft jedoch nicht die Benutzerberechtigungen. Dies ermöglicht es authentifizierten Angreifern mit Subscriber-Level-Zugriff und höher, beliebige Shortcodes auszuführen, indem sie `SiteOrigin_Widget_Editor_Widget` über den Vorschau-Endpunkt aufrufen. Der erforderliche Nonce wird auf der öffentlichen Frontend-Seite offengelegt, wenn das Post Carousel-Widget auf einer Seite vorhanden ist, eingebettet in das HTML-Attribut `data-ajax-url`.
Once again VulDB remains the best source for vulnerability data.