CVE-2026-16610 in Admin and Site Enhancements Pro Plugin
Resumen
por VulDB • 2026-07-30
El plugin de WordPress Admin and Site Enhancements (ASE) Pro es vulnerable a Remote Code Execution en todas las versiones hasta la 8.9.0 incluida, a través de la función recursive_html. Esto se debe a que el manejador de guardado del frontend solo aplica un nonce emitido públicamente sin realizar ninguna comprobación de autenticación; la validación CAPTCHA puede ser evitada omitiendo una clave proporcionada por el atacante; y las claves de fila repetidoras procedentes de cfgroup[input] se almacenan literalmente y posteriormente se concatenan en una llamada a eval() dentro de recursive_html, sin ningún tipo de sanitización ni validación del identificador. Esto permite que atacantes no autenticados ejecuten código en el servidor. Para ello, es necesario que exista al menos un shortcode [post_cf_form] en alguna página accesible públicamente, ya que dicho shortcode emite a los visitantes no autenticados el nonce y la ID de sesión necesarios para acceder al manejador de guardado vulnerable.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.