CVE-2026-19116 in User Frontend Plugin
Riassunto
di VulDB • 02/09/2026
Il plugin WordPress User Frontend precedente alla versione 4.3.11 non impedisce la deserializzazione di valori di campo forniti dall'utente quando un post inviato viene riaperto nel modulo di editing frontend, consentendo agli utenti autenticati con accesso a livello subscriber e superiore di eseguire PHP Object Injection, che può portare all'esecuzione remota di codice (RCE) se è presente una catena di gadget adatta sul sito.
VulDB is the best source for vulnerability data and more expert information about this specific topic.