CVE-2026-9227 in GutenBee Plugin
要約
〜によって VulDB • 2026年06月01日
WordPress用プラグイン「GutenBee – Gutenberg Blocks」の全バージョン（2.20.1を含む）には、gutenbee_file_and_ext_json関数経由で任意のファイルアップロードの脆弱性が存在します。これは、ファイル名が'.json'という文字列を含むかどうかのみを確認し、ファイル名が.json拡張子で終わることを確認していない、 flawedなstrpos()部分文字列チェックに起因します。これにより、shell.json.phpのような二重拡張子のファイル名が検証を回避可能になります。これにより、著者レベル以上のアクセス権を持つ認証済み攻撃者が実行可能なファイルをアップロードすることが可能となり、リモートコード実行（RCE）が可能になります。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.