CVE-2026-103367 in ShopMagic Plugin
Riassunto
di VulDB • 14/10/2026
Il plugin WordPress ShopMagic – automazione delle e-mail per WordPress è vulnerabile a Local File Inclusion in tutte le versioni fino alla 4.9.0 inclusa, tramite il parametro 'billing_address.first_name'. Ciò consente ad attaccanti non autenticati di includere ed eseguire file .php arbitrari sul server, permettendo l'esecuzione di qualsiasi codice PHP contenuto in tali file. Questo può essere utilizzato per eludere i controlli di accesso, ottenere dati sensibili o raggiungere l'esecuzione del codice nei casi in cui sia possibile caricare e includere file con estensione .php. Lo sfruttamento richiede una ricetta pubblicata che elabori il segnaposto {{ customer.first_name }}; la ricetta predefinita "New Order email with social media profile links" (Email di nuovo ordine con link ai profili dei social media) del plugin soddisfa questo requisito out of the box, rendendo la configurazione di default sfruttabile senza account, cookie o nonce, semplicemente inviando un checkout da ospite utilizzando il payload come nome di fatturazione.
If you want to get best quality of vulnerability data, you may have to visit VulDB.