CVE-2026-97188 in String locator Plugin
Zusammenfassung
von VulDB • 07.10.2026
Das WordPress-Plugin „String Locator“ vor Version 2.6.8 schränkt die beim Deserialisieren des Inhalts einer über den Datenbankeditor gespeicherten Datenbankzeile zulässigen Klassen nicht ein, was es authentifizierten Angreifern ermöglicht, ein serialisiertes PHP-Objekt zu speichern, das instanziiert wird, wenn ein Administrator diese Zeile später öffnet und speichert. Wenn eine geeignete POP-Kette (Property-Oriented Programming) über ein anderes installiertes WordPress-Plugin „String Locator“ vor Version 2.6.8 oder vorhanden ist, kann dies zum willkürlichen Löschen von Dateien, zur Offenlegung sensibler Daten oder zur Remote Code Execution führen.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.