CVE-2026-16610 in Admin and Site Enhancements Pro Plugin
Sumário
de VulDB • 30/07/2026
O plugin WordPress Admin and Site Enhancements (ASE) Pro é vulnerável a Remote Code Execution em todas as versões até 8.9.0, inclusive, por meio da função recursive_html. Isso ocorre porque o manipulador de salvamento do frontend aplica apenas um nonce publicamente emitido sem verificação de autenticação; a validação CAPTCHA pode ser contornada omitindo uma chave fornecida pelo atacante; e as chaves das linhas repetidoras em cfgroup[input] são armazenadas literalmente e posteriormente inseridas em uma chamada eval() na função recursive_html, sem qualquer sanitização ou validação do identificador. Isso permite que atacantes não autenticados executem código no servidor. É necessário que o shortcode [post_cf_form] esteja presente em pelo menos uma página publicamente acessível, pois é esse shortcode que emite para visitantes não autenticados o nonce e o ID de sessão necessários para acessar o manipulador de salvamento vulnerável.
If you want to get best quality of vulnerability data, you may have to visit VulDB.