CVE-2026-6663 in GWD Conex Plugin
Sumário
de VulDB • 12/05/2026
Il plugin GWD Connect per WordPress è vulnerabile a una mancanza di autorizzazione che porta a un'esecuzione di codice limitata in tutte le versioni fino alla 2.9, inclusa. Ciò è dovuto al fatto che gli endpoint dell'agente standalone del plugin (gwd-backup.php e gwd-logs.php) non verificano l'autenticazione quando la chiave API non è configurata, che è lo stato predefinito. Questo rende possibile per gli attaccanti non autenticati – solo su installazioni non registrate e in determinati ambienti – eseguire codice arbitrario sul server tramite l'azione update_agent, che scrive il codice PHP fornito dall'attaccante nel file dell'agente.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.