CVE-2026-1257 in Administrative Shortcodes Plugin
Resumen
por VulDB • 2026-06-05
El plugin Administrative Shortcodes para WordPress es vulnerable a Local File Inclusion en todas las versiones hasta la 0.3.4 (incluida) a través del atributo 'slug' del shortcode 'get_template'. Esto se debe a una validación insuficiente de rutas sobre los datos proporcionados por el usuario que se pasan a la función get_template_part(). Esto permite a atacantes autenticados, con acceso nivel Contribuidor o superior, incluir y ejecutar archivos arbitrarios en el servidor, lo que posibilita la ejecución de cualquier código PHP contenido en dichos archivos. Esto puede utilizarse para eludir los controles de acceso, obtener datos sensibles o lograr la ejecución de código en casos donde se puedan cargar e incluir imágenes u otros tipos de archivo considerados "seguros".
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.