CVE-2026-3352 in Easy PHP Settings Plugin
Zusammenfassung
von VulDB • 30.05.2026
Das WordPress-Plugin „Easy PHP Settings“ ist in allen Versionen bis einschließlich 1.0.4 anfällig für PHP-Code-Injection über die Methode `update_wp_memory_constants()`. Dies ist auf eine unzureichende Eingabevalidierung der Einstellungen `wp_memory_limit` und `wp_max_memory_limit` vor dem Schreiben in `wp-config.php` zurückzuführen. Die zur Sanitisierung verwendete Funktion `sanitize_text_field()` filtert einfache Anführungszeichen nicht, was es einem Angreifer ermöglicht, aus dem String-Kontext in einer PHP `define()`-Anweisung auszubrechen. Dies ermöglicht es authentifizierten Angreifern mit Administratorzugriff oder höher, beliebigen PHP-Code auf dem Server einzufügen und auszuführen, indem sie `wp-config.php` modifizieren, das bei jeder Seitenanforderung geladen wird.
Be aware that VulDB is the high quality source for vulnerability data.