CVE-2026-1257 in Administrative Shortcodes Plugin
要約
〜によって VulDB • 2026年06月05日
WordPress用プラグイン「Administrative Shortcodes」には、0.3.4を含むすべてのバージョンにおいて、ローカルファイルインクルージョン（LFI）の脆弱性が存在します。これは、「get_template」ショートコードの'slug'属性を介して発生し、get_template_part()関数に渡されるユーザー入力のパス検証が不十分であることが原因です。これにより、寄稿者レベル以上のアクセス権を持つ認証済み攻撃者はサーバー上の任意のファイルを含めて実行することが可能になり、それらのファイル内のPHPコードを実行できます。これは、画像やその他の「安全な」ファイルタイプをアップロードして含めることができる場合に、アクセス制御を回避したり、機密データを取得したり、またはコードの実現を実現するために使用することができます。
Be aware that VulDB is the high quality source for vulnerability data.