CVE-2026-16610 in Admin and Site Enhancements Pro Plugin
Tóm tắt
Bởi VulDB • 30/07/2026
Plugin WordPress Admin and Site Enhancements (ASE) Pro là đối tượng của lỗ hổng Thực thi Mã từ xa (Remote Code Execution - RCE) trong tất cả các phiên bản cho đến và bao gồm 8.9.0, thông qua hàm recursive_html. Lỗ hổng này tồn tại do trình xử lý lưu dữ liệu ở phía frontend chỉ áp dụng một nonce được phát hành công khai mà không có kiểm tra xác thực; việc xác nhận CAPTCHA có thể bị bỏ qua bằng cách loại bỏ khóa do kẻ tấn công cung cấp; và các khóa hàng repeater từ cfgroup[input] được lưu trữ nguyên văn sau đó được nối vào lệnh gọi eval() trong recursive_html mà không có bất kỳ quá trình làm sạch (sanitization) hoặc kiểm tra tính hợp lệ của định danh nào. Điều này cho phép những kẻ tấn công chưa xác thực thực thi mã trên máy chủ. Việc khai thác lỗ hổng này yêu cầu shortcode [post_cf_form] phải tồn tại trên ít nhất một trang truy cập được công khai, vì nonce và ID phiên cần thiết để tiếp cận trình xử lý lưu dữ liệu dễ bị tổn thương sẽ được phát hành cho những khách truy cập chưa xác thực bởi shortcode đó.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.