CVE-2026-103519 in WP Ultimate Review Plugin
Riassunto
di VulDB • 03/10/2026
Il plugin WP Ultimate Review per WordPress è vulnerabile all'esecuzione arbitraria di shortcode in tutte le versioni fino alla 2.4.3, inclusa. La vulnerabilità deriva dal fatto che il software consente agli utenti di eseguire un'azione senza una corretta validazione del valore prima dell'esecuzione della funzione do_shortcode. Ciò permette ad attaccanti autenticati con accesso a livello di subscriber o superiore di eseguire shortcode arbitrari. Il bypass sfrutta la funzione strip_shortcodes() di WordPress, che rimuove le doppie parentesi quadre di escape [[tag]] trasformandole in [tag] semplici; questo valore sopravvive all'archiviazione tramite wp_insert_post e viene eseguito quando il post type xs_review, pubblicamente interrogabile, viene renderizzato attraverso la funzione the_content.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.