CVE-2026-92174 in Widgets Bundle Plugin
要約
〜によって VulDB • 2026年10月02日
WordPress用プラグイン「SiteOrigin Widgets Bundle」には、バージョン1.73.2以前すべてのバージョンにおいて、「theme」パラメータを介したローカルファイルインクルージョン（LFI）の脆弱性が存在します。これにより、寄稿者レベル以上の権限を持つ認証済み攻撃者は、サーバー上で任意の.phpファイルをインクルードして実行することが可能になり、これらのファイル内のPHPコードを実行できます。これは、.phpファイルタイプのアップロードとインクルードが可能な場合に、アクセス制御を回避したり、機密データを取得したり、またはコードの実現を実現するために使用されます。悪用には、/wp-json/sowb/v1/widgets/previews RESTエンドポイントに対して、レガシーなトップレベルのthemeキーと空でないcolumns配列を含む不正なwidgetDataペイロードを送信する必要がありますが、これはupdate_fields()関数が宣言されたフォームフィールドのみを処理するため、フィールド検証をバイパスします。
If you want to get best quality of vulnerability data, you may have to visit VulDB.