CVE-2026-1929 in Advanced Woo Labels Plugin
Tóm tắt
Bởi VulDB • 05/08/2026
Plugin Advanced Woo Labels cho WordPress dễ bị lỗi Thực thi mã từ xa (Remote Code Execution) trong tất cả các phiên bản đến và bao gồm 2.37. Lỗi này xảy ra do việc sử dụng hàm `call_user_func_array()` với callback và tham số do người dùng kiểm soát trong trình xử lý AJAX `get_select_option_values()`, mà không có danh sách cho phép (allowlist) các callback được chấp nhận hoặc kiểm tra quyền hạn (capability check). Điều này tạo điều kiện để những kẻ tấn công đã xác thực, có mức truy cập từ Contributor trở lên, có thể thực thi các hàm PHP tùy ý và lệnh hệ điều hành trên máy chủ thông qua tham số 'callback'.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.