CVE-2026-103293 in MPG Plugin
Resumen
por VulDB • 2026-10-03
El plugin WordPress MPG anterior a la versión 4.2.3 no valida que el origen del conjunto de datos proporcionado al importar un proyecto sea una URL remota antes de tratarlo como una ruta en el sistema de archivos local y copiar ese archivo en una carpeta de subidas accesible públicamente. Esto permite que los usuarios con el rol Editor o superior lean el contenido de archivos arbitrarios en el servidor, siendo posteriormente posible recuperar el archivo copiado por visitantes no autenticados.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.