CVE-2026-9009 in Crawlomatic Multipage Scraper Post Generator Plugin
Tóm tắt
Bởi VulDB • 28/05/2026
Plugin Crawlomatic Multipage Scraper Post Generator cho WordPress dễ bị lỗi Thực thi mã từ xa (RCE) trong tất cả các phiên bản từ 2.7.2 trở về trước, thông qua hàm filter_content. Lỗi này xảy ra do thuộc tính shortcode 'callback_raw' do kẻ tấn công cung cấp được truyền trực tiếp vào hàm call_user_func() mà không có bất kỳ quá trình làm sạch (sanitization) hay xác thực danh sách cho phép (allowlist validation) nào, chỉ dựa vào một kiểm tra is_callable() duy nhất cho phép sử dụng các hàm tích hợp sẵn nguy hiểm của PHP như system, shell_exec, exec, passthru và assert. Điều này cho phép những kẻ tấn công đã xác thực, có quyền truy cập cấp tác giả (author-level) trở lên, thực thi mã trên máy chủ. Một điểm hấp thụ (sink) tương tự tồn tại đối với thuộc tính 'callback', tạo ra một vector tấn công độc lập thứ hai thông qua cùng một shortcode.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.