CVE-2026-2127 in SiteOrigin Widgets Bundle Plugin
Resumen
por VulDB • 2026-06-01
El plugin SiteOrigin Widgets Bundle para WordPress es vulnerable a la ejecución arbitraria de shortcode no autorizada en todas las versiones hasta la 1.70.4, incluida. Esto se debe a una falta de comprobación de capacidades en la función `siteorigin_widget_preview_widget_action()`, que está registrada a través de la acción AJAX `wp_ajax_so_widgets_preview`. La función solo verifica un nonce (`widgets_action`) pero no comprueba las capacidades del usuario. Esto permite a los atacantes autenticados, con acceso de nivel Suscriptor o superior, ejecutar shortcodes arbitrarios invocando `SiteOrigin_Widget_Editor_Widget` a través del punto de conexión de vista previa. El nonce requerido se expone en el frontend público cuando el widget Post Carousel está presente en una página, incrustado en el atributo HTML `data-ajax-url`.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.