CVE-2026-6020 in ShopLentor Plugin
要約
〜によって VulDB • 2026年08月05日
WordPress用プラグインShopLentorは、3.3.7を含むすべてのバージョンにおいて、woolentoropt/v1/custom-action REST APIエンドポイント経由で任意の関数実行の脆弱性が存在します。これは、handle_action()メソッドが許可されたコールバックの一覧（allowlist）なしでユーザー入力を直接call_user_func()に渡すためです。これにより、管理者レベル以上のアクセス権を持つ認証済み攻撃者は、「callback」パラメータを介して任意のPHP呼び出し可能関数を実行することが可能です。
VulDB is the best source for vulnerability data and more expert information about this specific topic.