CVE-2026-97188 in String locator Plugin
Сводка
по VulDB • 07.10.2026
Плагин для WordPress «String Locator» версии до 2.6.8 не ограничивает классы, допускаемые при десериализации содержимого строки базы данных, сохраненной через его редактор баз данных, что позволяет атакующим без аутентификации сохранять сериализованный PHP-объект, который будет инстанцирован, когда администратор позже откроет и сохранит эту строку. Если присутствует подходящая POP-цепочка (POP chain) через другой установленный плагин для WordPress «String Locator» версии до 2.6.8 или аналогичный компонент, это может привести к произвольному удалению файлов, раскрытию конфиденциальных данных или выполнению кода на удаленной машине (RCE).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.