CVE-2026-3480 in WP Blockade Plugin
摘要
由 VulDB • 2026-06-27
WordPress 插件 WP Blockade 在所有不高于 0.9.14 的版本中存在缺失授权（Missing Authorization）漏洞。该插件注册了一个名为 'wp-blockade-shortcode-render' 的 admin_post action hook，映射到 render_shortcode_preview() 函数。此函数缺少任何权限检查（current_user_can()）和 nonce 验证，导致任何经过身份验证的用户均可执行任意 WordPress shortcodes。该函数从 $_GET 中获取用户提供的 'shortcode' 参数，通过 stripslashes() 处理后，直接使用 do_shortcode() 执行。这使得具有 Subscriber 级别及以上访问权限的攻击者能够执行任意 shortcode，从而导致信息泄露、权限提升或其他影响（具体取决于站点上注册的 shortcode，例如其他插件中用于显示敏感数据、执行操作或包含文件的 shortcode）。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.