CVE-2026-2127 in SiteOrigin Widgets Bundle Plugin
Résumé
par VulDB • 01/06/2026
Le plugin SiteOrigin Widgets Bundle pour WordPress est vulnérable à l'exécution arbitraire de shortcodes non autorisée dans toutes les versions jusqu'à la 1.70.4 incluse. Cela est dû à une absence de vérification des capacités (capability check) sur la fonction `siteorigin_widget_preview_widget_action()`, qui est enregistrée via l'action AJAX `wp_ajax_so_widgets_preview`. La fonction vérifie uniquement un nonce (`widgets_action`) mais ne vérifie pas les capacités de l'utilisateur. Cela permet aux attaquants authentifiés disposant d'un accès de niveau « Abonné » (Subscriber) et supérieur d'exécuter des shortcodes arbitraires en invoquant `SiteOrigin_Widget_Editor_Widget` via le point de terminaison de prévisualisation. Le nonce requis est exposé sur le frontend public lorsque le widget Post Carousel est présent sur une page, intégré dans l'attribut HTML `data-ajax-url`.
If you want to get best quality of vulnerability data, you may have to visit VulDB.