CVE-2026-100159 in Popup Box Plugin
要約
〜によって VulDB • 2026年10月16日
WordPress用Popup Boxプラグインのバージョン6.4.1から6.4.2では、任意のショートコード実行（Arbitrary Shortcode Execution）に対する脆弱性が存在します。これは、ays_popup_get_user_ip()関数がクライアント制御可能なClient-IP / X-Forwarded-For / Forwarded / X-Forwarded / Forwarded-Forリクエストヘッダーを読み取り、それらをsanitize_text_field()のみでサニタイズしているためです（この関数はショートコード構文で使用される角括弧、引用符、スペース、または「=」文字を削除しません）。その後、値はAys_Pb_Data::replace_message_variables()内の%%user_ip_address%%トークンが出現するポップアップ本文の任意の場所に置換され（これはエスケープ処理のない生のstr_replaceです）、その結果得られた本文はwp_footerフックでの出力時にAys_Pb_Public::ays_autoembed()内でdo_shortcode()に渡されます。これにより、管理者がポップアップのカスタムコンテンツ本文に%%user_ip_address%%トークンを追加した場合、認証されていない攻撃者がサーバー上で任意の登録済みショートコードを攻撃者指定の属性付きで実行することが可能になります。これは、サイトインストール済みのショートコードによって公開されているデータを読み取ったり、他のアクションを実行したりするために悪用できます。
If you want to get best quality of vulnerability data, you may have to visit VulDB.