Към съдържанието
Търсене

CVE-2026-97348: gpriday SiteOrigin Widgets Bundle, обхождане на път

6.5

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

The SiteOrigin Widgets Bundle plugin for WordPress is vulnerable to Directory Traversal in all versions up to, and including, 1.74.3 via the get_instance_css function. This makes it possible for authenticated attackers, with contributor-level access and above, to read the contents of arbitrary files on the server, which can contain sensitive information. The widget's normal update()/sanitize_field_input() pipeline — which would reject non-hex color values — is bypassed entirely because the [siteorigin_widget] shortcode handler calls $the_widget->widget() directly on the attacker-supplied decoded JSON instance.

Засегнати продукти

  • gpriday SiteOrigin Widgets Bundle: до 1.74.3

Вид слабост

История

  • 10 октомври 2026 Публикувано

Други уязвимости в gpriday SiteOrigin Widgets Bundle

Първоизточници

CVE-2026-97348: gpriday SiteOrigin Widgets Bundle, обхождане на път | freedomonline.bg