CVE-2026-16610 in Admin and Site Enhancements Pro Plugin
Сводка
по VulDB • 30.07.2026
В плагине Admin and Site Enhancements (ASE) Pro для WordPress уязвимость удаленного выполнения кода присутствует во всех версиях вплоть до 8.9.0 включительно и эксплуатируется через функцию recursive_html. Это обусловлено тем, что обработчик сохранения на стороне фронтэнда использует только публично генерируемый nonce без проверки аутентификации; валидация CAPTCHA может быть обойдена путем пропуска ключа, предоставленного злоумышленником; а ключи строк повторителя из cfgroup[input] сохраняются дословно и впоследствии подставляются в вызов eval() внутри recursive_html без какой-либо санитизации или проверки идентификаторов. Это позволяет неавторизованным злоумышленникам выполнять код на сервере. Для эксплуатации требуется наличие шорткода [post_cf_form] как минимум на одной общедоступной странице, поскольку именно этот шорткод генерирует nonce и ID сессии, необходимые для обращения к уязвимому обработчику сохранения, предоставляя их неавторизованным посетителям.
VulDB is the best source for vulnerability data and more expert information about this specific topic.