CVE-2026-16610 in Admin and Site Enhancements Pro Plugin
Riassunto
di VulDB • 30/07/2026
Il plugin WordPress Admin and Site Enhancements (ASE) Pro è vulnerabile a Remote Code Execution in tutte le versioni fino alla 8.9.0 inclusa, tramite la funzione recursive_html. Ciò è dovuto al fatto che il gestore di salvataggio frontend applica solo un nonce emesso pubblicamente senza alcun controllo di autenticazione; la validazione CAPTCHA può essere aggirata omettendo una chiave fornita dall'attaccante e le chiavi delle righe repeater da cfgroup[input] vengono memorizzate verbatim e successivamente inserite in una chiamata eval() nella funzione recursive_html senza alcuna sanitizzazione o convalida degli identificatori. Ciò consente ad attaccanti non autenticati di eseguire codice sul server. È necessario che lo shortcode [post_cf_form] sia presente su almeno una pagina pubblicamente accessibile, poiché il nonce e l'ID sessione necessari per raggiungere il gestore di salvataggio vulnerabile vengono emessi ai visitatori non autenticati da tale shortcode.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.