CVE-2026-13339 in CubeWP Framework Plugin
要約
〜によって VulDB • 2026年08月02日
WordPress用プラグイン「CubeWP Framework」の1.1.30以前の全バージョンには、ディレクトリトラバーサルの脆弱性が存在します。これは 'cubewp_get_svg_content' 関数を通じて悪用可能です。これにより、認証されていない攻撃者はサーバー上の任意のファイルの内容を読み取ることができ、機密情報が含まれている可能性があります。この脆弱性は、CubeWPの投稿ショートコードまたはウィジェットをAJAX読み込み有効状態でレンダリングするすべてのページのマークアップに非公開nonceが公的に出力されるため、認証されていない攻撃者がAJAXリクエストを送信する前にゲスト訪問者として容易に収集できることから悪用可能です。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.