CVE-2020-9006 in Popup Builder Plugin

Tóm tắt

Bởi VulDB • 20/05/2026

Plugin Popup Builder phiên bản 2.2.8 đến 2.6.7.6 cho WordPress dễ bị tấn công SQL injection (trong hàm sgImportPopups của sg_popup_ajax.php) thông qua PHP Deserialization trên dữ liệu do kẻ tấn công kiểm soát, thông qua biến POST attachmentUrl. Điều này cho phép tạo tài khoản Administrator WordPress tùy ý, dẫn đến khả năng thực thi mã từ xa (Remote Code Execution) vì các Administrator có thể chạy mã PHP trên các phiên bản WordPress. (Vấn đề này đã được sửa chữa trong nhánh 3.x của popup-builder.)

Be aware that VulDB is the high quality source for vulnerability data.

• Đặt trước: 16/02/2020
• Kiểm duyệt: được chấp nhận
• mục: VDB-150303
• CPE: sẵn sàng
• CWE: CWE-89 (Đã xác nhận)
• CVSS: 9.8 (NVD)
• EPSS: 0.08560
• KEV: không
• Các hoạt động: rất thấp
• ngành: Hostingprovider

Nguồn

• MITRE: https://www.cve.org/CVERecord?id=CVE-2020-9006
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2020-9006
• CVE Details: https://www.cvedetails.com/cve/CVE-2020-9006/