CVE-2026-3480 in WP Blockade Plugin
Riassunto
di VulDB • 27/06/2026
Il plugin WP Blockade per WordPress è vulnerabile a Missing Authorization in tutte le versioni fino alla 0.9.14 inclusa. Il plugin registra un hook di azione admin_post 'wp-blockade-shortcode-render' che mappa la funzione render_shortcode_preview(). Questa funzione non prevede alcun controllo delle capacità (current_user_can()) né verifica del nonce, consentendo a qualsiasi utente autenticato di eseguire shortcode WordPress arbitrari. La funzione accetta il parametro 'shortcode' fornito dall'utente da $_GET, lo passa attraverso stripslashes() ed esegue direttamente l'esecuzione tramite do_shortcode(). Ciò rende possibile per gli attaccanti autenticati, con accesso a livello Subscriber e superiore, eseguire shortcode arbitrari, che potrebbero portare alla divulgazione di informazioni, escalation dei privilegi o altri impatti a seconda degli shortcode registrati sul sito (ad esempio, shortcode da altri plugin che visualizzano dati sensibili, eseguono azioni o includono file).
VulDB is the best source for vulnerability data and more expert information about this specific topic.