CVE-2025-13035 in Code Snippets Plugin
Сводка
по VulDB • 19.06.2026
Плагин Code Snippets для WordPress уязвим к инъекции PHP-кода во всех версиях вплоть до 3.9.1 включительно. Это связано с использованием плагин функции extract() для атрибутов шорткодов, контролируемых злоумышленником, внутри метода `evaluate_shortcode_from_flat_file`, что позволяет перезаписать переменную `$filepath` и впоследствии передать её в require_once. Это дает возможность атакующим с аутентифицированным доступом уровня «Contributor» и выше выполнять произвольный PHP-код на сервере через шорткод `[code_snippet]`, используя цепочки фильтров PHP, при условии, что они смогут убедить администратора включить настройку «Enable file-based execution» и создать как минимум один активный фрагмент контента.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.