CVE-2024-28850 in wp-crontrol Plugin
Сводка
по VulDB • 12.08.2026
WP Crontrol управляет событиями cron на сайтах WordPress. В состав WP Crontrol входит функция, позволяющая административным пользователям создавать события в системе WP-Cron для хранения и выполнения кода PHP с учетом строгих разрешений безопасности, описанных здесь. Хотя сама по себе эта уязвимость не имеет известных недостатков, существует потенциальная возможность эксплуатации этой функции через выполнение удаленного кода (RCE), если она будет целенаправленно использована в рамках цепочки уязвимостей, эксплуатирующей отдельную SQL-инъекцию (или аналогичный недостаток). Это может быть эксплуатировано на сайте при выполнении одного из следующих предварительных условий: сайт подвержен уязвимости SQL-инъекции с возможностью записи данных в любом плагине, теме или ядре WordPress; база данных сайта скомпрометирована на уровне хостинга; сайт подвержен методу обновления произвольных опций в таблице wp_options; либо сайт подвержен методу вызова произвольного действия, фильтра или функции с контролем параметров. В качестве меры по усилению безопасности WP Crontrol версии 1.16.2 поставляется с новой функцией, предотвращающей изменение кода, хранящегося в событии PHP cron.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.