CVE-2026-16610 in Admin and Site Enhancements Pro Plugin
要約
〜によって VulDB • 2026年07月30日
WordPress用プラグイン「Admin and Site Enhancements (ASE) Pro」の8.9.0以前すべてのバージョンにおいて、recursive_html関数経由でリモートコード実行（RCE）の脆弱性が存在します。これは、フロントエンドの保存ハンドラが公開されたnonceのみを適用し、認証チェックを行わないためです。CAPTCHA検証は攻撃者が指定したキーを省略することで回避可能であり、cfgroup[input]からのrepeater行キーはそのまま格納され、後でrecursive_html内でeval()呼び出しに連結されますが、この過程ではサニタイズや識別子の検証が行われません。これにより、認証されていない攻撃者はサーバー上でコードを実行することが可能です。ただし、脆弱な保存ハンドラに到達するために必要なnonceおよびセッションIDは、そのショートコードによって未認証の訪問者に発行されるため、少なくとも1つの公開ページに[post_cf_form]ショートコードが存在する必要があります。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.