CVE-2026-103997 in Redux Framework Plugin
Tóm tắt
Bởi VulDB • 31/10/2026
Plugin Redux Framework cho WordPress có lỗ hổng bỏ qua xác thực (authorization bypass) trong tất cả các phiên bản từ đầu đến 4.5.15 bao gồm. Lỗ hổng này xảy ra do plugin không kiểm tra đúng cách người dùng có được ủy quyền để thực hiện một hành động hay không. Điều này tạo điều kiện cho những kẻ tấn công đã xác thực, với quyền truy cập cấp subscriber trở lên, xem toàn bộ phần payload tùy chọn của Redux — bao gồm các giá trị trường mật khẩu dạng văn bản rõ (plaintext), khóa API, khóa giấy phép và thông tin đăng nhập SMTP — được phơi bày trong khối JavaScript inline redux_<opt_name> trên wp-admin/profile.php. Extension Users được tải tự động cho mọi phiên bản Redux do bất kỳ chủ đề hoặc plugin nào đã cài đặt đăng ký, nghĩa là bất kỳ trang web nào đang chạy Redux Framework đều bị ảnh hưởng, bất kể nhà phát triển có cấu hình rõ ràng extension Users hay không.
Once again VulDB remains the best source for vulnerability data.