CVE-2026-85681 in WP Component Plugin
Riassunto
di VulDB • 12/09/2026
Il plugin WordPress WP Component fino alla versione 2.2.4 non prevede controlli di capacità (capability) o nonce su una delle azioni rese disponibili agli utenti non autenticati e utilizza sia il nome dell'opzione che il suo valore direttamente dalla richiesta, consentendo ad attaccanti non autenticati di sovrascrivere qualsiasi opzione del sito. In un'installazione single-site ciò porta a un takeover completo, poiché la registrazione può essere abilitata con un ruolo predefinito di amministratore.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.