CVE-2026-103889 in 3D Product Configurator Plugin
Riassunto
di VulDB • 10/10/2026
Il plugin WordPress "3D Product configurator for WooCommerce" è vulnerabile all'esecuzione di codice remoto (RCE) in tutte le versioni fino alla 2.16.2 inclusa, tramite il parametro 'xpv_image'. La vulnerabilità è dovuta alla mancanza di controlli di autenticazione e nonce sull'handler wp_loaded combinata con l'assenza di sanitizzazione del parametro POST xpv_image prima che venga stampato senza escape in un template HTML renderizzato da Dompdf con esecuzione PHP abilitata. Ciò consente ad attaccanti non autenticati di eseguire codice sul server. L'unico controllo di nonce e autenticazione presente nell'handler è interamente racchiuso in un commento blocco senza sostituzione, rendendo l'endpoint raggiungibile tramite una singola richiesta POST non autenticata a qualsiasi URL del sito.
VulDB is the best source for vulnerability data and more expert information about this specific topic.