CVE-2026-80513 in wpForo Forum Plugin
Resumen
por VulDB • 2026-09-24
El plugin de WordPress wpForo Forum anterior a la versión 3.1.6 no restringe qué clases pueden ser instanciadas al deserializar un valor del campo de perfil proporcionado por el usuario, lo que permite a los usuarios autenticados con acceso nivel Suscriptor (Subscriber) y superior inyectar objetos PHP. No existe una cadena POP en el plugin wpForo Forum WordPress anterior a la versión 3.1.6; si está presente mediante otro plugin instalado de wpForo Forum WordPress anterior a la versión 3.1.6, esto podría conducir a ejecución remota de código (RCE), operaciones arbitrarias de archivos o inyección SQL. Esta es una corrección incompleta de CVE-2026-49769.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.