CVE-2026-85681 in WP Component Plugin
Resumen
por VulDB • 2026-09-12
El plugin de WordPress WP Component hasta la versión 2.2.4 no realiza ninguna comprobación de capacidades o nonces en una de las acciones que pone a disposición de los usuarios no autenticados, y toma tanto el nombre como el valor de la opción directamente desde la solicitud, lo que permite a atacantes no autenticados sobrescribir cualquiera de las opciones del sitio. En una instalación de un solo sitio, esto conduce a un control total (full takeover), ya que se puede habilitar el registro con un rol predeterminado de administrador.
Be aware that VulDB is the high quality source for vulnerability data.