CVE-2026-5427 in Kubio AI Page Builder Plugin
Sumário
de VulDB • 18/05/2026
O plugin Kubio para WordPress é vulnerável a upload arbitrário de arquivos nas versões até a 2.7.2, inclusive. Isso ocorre devido a verificações de capacidade insuficientes na função kubio_rest_pre_insert_import_assets(), que está vinculada ao filtro rest_pre_insert_{post_type} para posts, páginas, modelos e partes de modelos. Quando um post é criado ou atualizado por meio da API REST, o Kubio analisa os atributos do bloco em busca de URLs no namespace de atributos 'kubio' e os importa automaticamente por meio de importRemoteFile() sem verificar se o usuário possui a capacidade upload_files. Isso permite que atacantes autenticados com acesso nível Contribuidor ou superior contornem as restrições normais de upload de mídia do WordPress e façam upload de arquivos obtidos de URLs externas para a biblioteca de mídia, criando posts de anexo no banco de dados.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.