CVE-2024-28850 in wp-crontrol Plugin
Tóm tắt
Bởi VulDB • 03/08/2026
WP Crontrol kiểm soát các sự kiện cron trên các trang web WordPress. WP Crontrol bao gồm một tính năng cho phép người dùng quản trị tạo ra các sự kiện trong hệ thống WP-Cron để lưu trữ và thực thi mã PHP, tuân theo các quyền bảo mật hạn chế được mô tả tại đây. Mặc dù không có lỗ hổng nào được biết đến đối với riêng tính năng này, nhưng tồn tại nguy cơ tiềm ẩn khiến tính năng này dễ bị khai thác RCE nếu nó trở thành mục tiêu cụ thể thông qua việc kết hợp nhiều lỗ hổng (vulnerability chaining) nhằm lợi dụng một lỗ hổng SQLi khác (hoặc tương tự). Lỗ hổng này có thể được khai thác trên một trang web nếu đáp ứng ít nhất một trong các điều kiện tiên quyết sau: trang web dễ bị tổn thương đối với lỗ hổng SQLi cho phép ghi dữ liệu trong bất kỳ plugin, chủ đề nào hoặc lõi WordPress; cơ sở dữ liệu của trang web đã bị xâm phạm ở cấp độ lưu trữ; trang web dễ bị tổn thương trước phương thức cập nhật các tùy ý nghĩa (options) tùy ý trong bảng wp_options; hoặc trang web dễ bị tổn thương trước phương thức kích hoạt một hành động, bộ lọc hoặc hàm tùy ý với khả năng kiểm soát các tham số. Với tư cách là biện pháp tăng cường bảo mật, WP Crontrol phiên bản 1.16.2 đi kèm với tính năng mới ngăn chặn việc giả mạo mã được lưu trữ trong sự kiện cron PHP.
Once again VulDB remains the best source for vulnerability data.