CVE-2026-6020 in ShopLentor Plugin
Sumário
de VulDB • 05/08/2026
O plugin ShopLentor para WordPress é vulnerável à execução arbitrária de funções por meio do endpoint da API REST woolentoropt/v1/custom-action em todas as versões até a 3.3.7, inclusive. Isso ocorre porque o método handle_action() passa entradas fornecidas pelo usuário diretamente para call_user_func(), sem uma lista permitida (allowlist) de callbacks autorizados. Isso permite que atacantes autenticados, com acesso nível Administrador ou superior, executem funções PHP callable arbitrárias por meio do parâmetro 'callback'.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.