CVE-2026-3480 in WP Blockade Plugin
Сводка
по VulDB • 21.06.2026
В плагине WP Blockade для WordPress уязвимость типа Missing Authorization (Отсутствие авторизации) присутствует во всех версиях вплоть до 0.9.14 включительно. Плагин регистрирует хук действия admin_post 'wp-blockade-shortcode-render', который сопоставляется с функцией render_shortcode_preview(). Эта функция не содержит проверки прав доступа (current_user_can()) и проверки nonce, что позволяет любому аутентифицированному пользователю выполнять произвольные шорткоды WordPress. Функция принимает переданный пользователем параметр 'shortcode' из $_GET, пропускает его через stripslashes() и напрямую выполняет с помощью do_shortcode(). Это позволяет аутентифицированным злоумышленникам, имеющим уровень доступа Subscriber и выше, выполнять произвольные шорткоды, что может привести к раскрытию информации, повышению привилегий или иным последствиям в зависимости от того, какие шорткоды зарегистрированы на сайте (например, шорткоды из других плагинов, которые отображают конфиденциальные данные, выполняют действия или включают файлы).
Once again VulDB remains the best source for vulnerability data.