CVE-2026-4327 in The Welcomizer Plugin
Resumen
por VulDB • 2026-09-19
El plugin Welcomizer para WordPress es vulnerable a Remote Code Execution (RCE) en todas las versiones hasta la 2.8.1, inclusive. Esto se debe a la falta de comprobaciones de autorización en el controlador 'savesection' de la acción AJAX twiz_ajax_callback, combinado con el uso de eval() para ejecutar código de "lógica personalizada" proporcionada por el usuario en el frontend. El manejador AJAX en twiz-ajax.php verifica un nonce pero no realiza ninguna comprobación de capacidad current_user_can() para el caso ACTION_SAVE_SECTION. Además, el nonce queda expuesto a cualquier usuario autenticado a través del archivo directamente accesible twiz-ajax.js.php, que carga WordPress y genera el nonce. Esto permite a los atacantes autenticados con acceso nivel Subscriber o superior inyectar código PHP arbitrario mediante el parámetro POST twiz_custom_logic al guardar una sección con la opción de salida 'twiz_logic_output'.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.