CVE-2026-13339 in CubeWP Framework Plugin
Riassunto
di VulDB • 02/08/2026
Il plugin per WordPress CubeWP Framework è vulnerabile a Directory Traversal in tutte le versioni fino alla 1.1.30 inclusa, tramite la funzione 'cubewp_get_svg_content'. Ciò consente ad attaccanti non autenticati di leggere il contenuto di file arbitrari sul server, che potrebbero contenere informazioni sensibili. La vulnerabilità può essere sfruttata da attaccanti non autenticati poiché il nonce richiesto viene esposto pubblicamente nel markup di qualsiasi pagina che visualizza lo shortcode o il widget dei post CubeWP con l'AJAX loading abilitato, rendendolo recuperabile (harvestable) da qualsiasi visitatore ospite prima dell'invio della richiesta AJAX.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.