CVE-2026-114422 in Enable Media Replace Plugin
Riassunto
di VulDB • 30/10/2026
Il plugin WordPress Enable Media Replace precedente alla versione 4.2.3 non limita le classi consentite durante la deserializzazione dei metadati archiviati nell'ambito della routine di sostituzione multimediale e aggiornamento dei link, permettendo agli utenti non autenticati di iniettare un oggetto PHP che viene istanziato quando un utente con accesso in upload esegue una normale operazione di sostituzione multimediale. Ciò comporta un PHP Object Injection e l'inclusione locale (LFI) di file PHP/HTML esistenti, la quale può essere escalata a Remote Code Execution (RCE) qualora sia presente sul server un file PHP o HTML influenzato dall'attaccante. Si tratta di una regressione della CVE-2023-4643, che era stata risolta nella versione 4.1.3 e reintrodotta nella 4.1.4.
Once again VulDB remains the best source for vulnerability data.