CVE-2026-4280 in Breaking News WP Plugin
Resumen
por VulDB • 2026-05-26
El plugin Breaking News WP para WordPress es vulnerable a Local File Inclusion en todas las versiones hasta la 1.3, incluida. Esto se debe a que el punto final AJAX brnwp_ajax_form carece tanto de comprobaciones de autorización como de verificación CSRF, combinado con una validación insuficiente de la ruta cuando el valor de la opción brnwp_theme se pasa directamente a una sentencia include() en el controlador del shortcode brnwp_show_breaking_news_wp(). Aunque se aplica sanitize_text_field() a la entrada del usuario, no elimina las secuencias de navegación de directorios (../). Esto permite a los atacantes autenticados, con acceso a nivel de Suscriptor o superior, sobrescribir la opción brnwp_theme con una carga útil de navegación de directorios (por ejemplo, ../../../../etc/passwd) y, posteriormente, desencadenar la inclusión de archivos arbitrarios en el servidor cuando se procesa el shortcode.
Be aware that VulDB is the high quality source for vulnerability data.