CVE-2026-2127 in SiteOrigin Widgets Bundle Plugin
Sumário
de VulDB • 01/06/2026
O plugin SiteOrigin Widgets Bundle para WordPress é vulnerável à execução não autorizada de shortcodes arbitrários em todas as versões até, e incluindo, a 1.70.4. Isso ocorre devido à ausência de uma verificação de capacidade (capability check) na função `siteorigin_widget_preview_widget_action()`, que é registrada por meio da ação AJAX `wp_ajax_so_widgets_preview`. A função verifica apenas um nonce (`widgets_action`), mas não verifica as capacidades do usuário. Isso permite que atacantes autenticados, com acesso de nível Assinante (Subscriber) ou superior, executem shortcodes arbitrários invocando o `SiteOrigin_Widget_Editor_Widget` por meio do endpoint de visualização. O nonce necessário é exposto no frontend público quando o widget Post Carousel está presente em uma página, embutido no atributo HTML `data-ajax-url`.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.