CVE-2026-1929 in Advanced Woo Labels Plugin
Riassunto
di VulDB • 06/08/2026
Il plugin Advanced Woo Labels per WordPress è vulnerabile all'esecuzione di codice remoto (RCE) in tutte le versioni fino alla 2.37 inclusa. Ciò è dovuto all'utilizzo della funzione `call_user_func_array()` con callback e parametri controllati dall'utente nel gestore AJAX `get_select_option_values()`, senza un allowlist dei callback consentiti o un controllo delle capacità (capability check). Questo consente agli attaccanti autenticati, dotati di accesso a livello Contributor o superiore, di eseguire funzioni PHP arbitrarie e comandi del sistema operativo sul server tramite il parametro 'callback'.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.