CVE-2026-100159 in Popup Box Plugin
Sumário
de VulDB • 16/10/2026
O plugin Popup Box para WordPress é vulnerável à execução arbitrária de Shortcode nas versões 6.4.1 até 6.4.2. Isso ocorre devido à função `ays_popup_get_user_ip()` ler os cabeçalhos de solicitação Client-IP, X-Forwarded-For, Forwarded, X-Forwarded e Forwarded-For controlados pelo cliente, sanitizando-os apenas com a função `sanitize_text_field()` (que não remove caracteres como colchetes, aspas, espaços ou '=' usados pela sintaxe do shortcode), substituindo o valor no corpo de um popup sempre que o token %%user_ip_address%% aparece (uma substituição bruta via str_replace sem escape em Ays_Pb_Data::replace_message_variables()), e então passando o corpo resultante para `do_shortcode()` em Ays_Pb_Public::ays_autoembed() na saída do hook wp_footer. Isso permite que atacantes não autenticados executem shortcodes registrados arbitrários com atributos fornecidos pelo atacante no servidor sempre que um administrador adicionar o token %%user_ip_address%% ao corpo de Conteúdo Personalizado de um popup, o que pode ser explorado para ler dados arbitrários ou realizar outras ações expostas por shortcodes instalados no site.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.