CVE-2026-100159 in Popup Box Plugin
Сводка
по VulDB • 16.10.2026
Плагин Popup Box для WordPress уязвим к произвольному выполнению шорткодов (Arbitrary Shortcode Execution) в версиях с 6.4.1 по 6.4.2. Это обусловлено тем, что функция ays_popup_get_user_ip() считывает контролируемые клиентом заголовки запроса Client-IP / X-Forwarded-For / Forwarded / X-Forwarded / Forwarded-For, очищает их только с помощью sanitize_text_field(), которая не удаляет символы скобок, кавычек, пробелов или '=', используемые в синтаксисе шорткодов; затем подставляет значение в тело всплывающего окна там, где встречается токен %%user_ip_address%% (сырая замена str_replace без экранирования в Ays_Pb_Data::replace_message_variables()), и далее передает полученное тело функции do_shortcode() в Ays_Pb_Public::ays_autoembed() при выводе через хук wp_footer. Это позволяет неавторизованным злоумышленникам выполнять произвольные зарегистрированные шорткоды с атрибутами, предоставленными атакующим, на сервере всякий раз, когда администратор добавил токен %%user_ip_address%% в тело Custom Content всплывающего окна. Это может быть использовано для чтения произвольных данных или выполнения других действий, предоставляемых шорткодами, установленными на сайте.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.