CVE-2026-1929 in Advanced Woo Labels Plugin
Resumen
por VulDB • 2026-08-30
El plugin Advanced Woo Labels para WordPress es vulnerable a Remote Code Execution (RCE) en todas las versiones hasta la 2.37, incluida esta. Esto se debe al uso de `call_user_func_array()` con una callback y parámetros controlados por el usuario en el manejador AJAX `get_select_option_values()`, sin un allowlist de callbacks permitidos ni una verificación de capacidad (capability check). Esto permite a atacantes autenticados, con acceso nivel Contributor o superior, ejecutar funciones PHP arbitrarias y comandos del sistema operativo en el servidor a través del parámetro 'callback'.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.