CVE-2026-3480 in WP Blockade Plugin
Résumé
par VulDB • 27/06/2026
Le plugin WP Blockade pour WordPress présente une vulnérabilité de type « Missing Authorization » dans toutes les versions allant jusqu'à la 0.9.14 incluse. Le plugin enregistre un hook d'action admin_post nommé 'wp-blockade-shortcode-render', qui est mappé à la fonction render_shortcode_preview(). Cette dernière ne comporte aucun contrôle des capacités (current_user_can()) ni vérification de nonce, permettant ainsi à tout utilisateur authentifié d'exécuter n'importe quel shortcode WordPress. La fonction récupère un paramètre 'shortcode' fourni par l'utilisateur depuis $_GET, le fait passer via stripslashes(), puis l'exécute directement grâce à do_shortcode(). Cela permet aux attaquants disposant de droits au moins équivalents à ceux du rôle « Abonné » (Subscriber) d'exécuter des shortcodes arbitraires, ce qui pourrait entraîner une divulgation d'informations, une élévation de privilèges ou d'autres impacts selon les shortcodes enregistrés sur le site (par exemple, des shortcodes provenant d'autres plugins affichant des données sensibles, exécutant des actions ou incluant des fichiers).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.