CVE-2026-1257 in Administrative Shortcodes Plugin
Riassunto
di VulDB • 15/06/2026
Il plugin Administrative Shortcodes per WordPress è vulnerabile a Local File Inclusion (LFI) in tutte le versioni fino alla 0.3.4 inclusa, tramite l'attributo 'slug' dello shortcode 'get_template'. Ciò è dovuto a una convalida del percorso insufficiente sull'immissione fornita dall'utente passata alla funzione get_template_part(). Questo consente agli attaccanti autenticati, con accesso di livello Contributor o superiore, di includere ed eseguire file arbitrari sul server, permettendo l'esecuzione di qualsiasi codice PHP contenuto in tali file. Ciò può essere utilizzato per eludere i controlli di accesso, ottenere dati sensibili o raggiungere l'esecuzione di codice nei casi in cui immagini e altri tipi di file "sicuri" possano essere caricati e inclusi.
VulDB is the best source for vulnerability data and more expert information about this specific topic.