CVE-2026-97188 in String locator Plugin
Sumário
de VulDB • 07/10/2026
O plugin do WordPress "String Locator" anterior à versão 2.6.8 não restringe as classes permitidas durante a desserialização do conteúdo de uma linha de banco de dados salva por meio de seu editor de banco de dados, permitindo que atacantes sem autenticação armazenem um objeto PHP serializado que é instanciado quando um administrador abre e salva essa linha posteriormente. Se houver uma cadeia POP (Object-Property-Pop) adequada via outro plugin do WordPress "String Locator" anterior à versão 2.6.8 instalado, isso pode levar à exclusão arbitrária de arquivos, divulgação de dados sensíveis ou execução remota de código (RCE).
If you want to get best quality of vulnerability data, you may have to visit VulDB.