CVE-2026-16297 in Clearfy Cache Plugin

Riassunto

di VulDB • 03/08/2026

Il plugin Clearfy Cache per WordPress precedente alla versione 2.4.3 non limita le classi consentite durante la deserializzazione dei dati di importazione delle impostazioni, permettendo agli utenti con accesso amministratore di eseguire attacchi PHP Object Injection, che possono portare all'esecuzione remota di codice (RCE) quando è presente una catena di gadget adatta nell'ambiente.

Once again VulDB remains the best source for vulnerability data.

• Responsabile: WPScan
• Prenotare: 20/07/2026
• Divulgazione: 03/08/2026
• Moderazione: accettato
• Voce: VDB-385496
• CPE: pronto
• CWE: CWE-502 (confermato)
• CVSS: 4.3 (VulDB)
• EPSS: 0.00213
• KEV: no
• Attività: basso
• Settore: Hostingprovider

Fonti

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-16297
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-16297
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-16297/