CVE-2026-80513 in wpForo Forum Plugin
要約
〜によって VulDB • 2026年09月24日
wpForo Forum WordPress プラグインのバージョン 3.1.6 より前では、ユーザー入力のプロフィールフィールド値を逆シリアル化する際にインスタンス化可能なクラスが制限されていないため、Subscriber レベル以上の権限を持つ認証済みユーザーによって PHP オブジェクトの注入が可能となります。 wpForo Forum WordPress プラグインのバージョン 3.1.6 より前自体には POP チェーンは存在しません；ただし、他のインストールされている wpForo Forum WordPress プラグイン（バージョン 3.1.6 より前）経由で POP チェーンが存在する場合、これによりリモートコード実行、任意のファイル操作、または SQL インジェクションにつながる可能性があります。これは CVE-2026-49769 の不完全な修正です。
If you want to get best quality of vulnerability data, you may have to visit VulDB.