CVE-2026-14158
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
Wtyczka Widget Logic Visual dla WordPressa jest podatna na zdalne wykonanie kodu we wszystkich wersjach do 1.52 włącznie. Podatność występuje w funkcji widget_logic_visual_check_visibility z powodu braku sprawdzenia uprawnień i weryfikacji nonce w akcji AJAX widget-logic-update-conditional-tags, a także niedostatecznego oczyszczenia parametru 'nwlv[cod-tag]' przed zapisem i użyciem w wywołaniu eval(). Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wykonanie kodu na serwerze.
Ocena ryzyka
Atakujący może przejąć kontrolę nad serwerem, wykonać dowolny kod, zainstalować złośliwe oprogramowanie lub zmodyfikować treść strony, co prowadzi do pełnej kompromitacji witryny WordPress.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Widget Logic Visual do najnowszej dostępnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest dostępna, należy tymczasowo wyłączyć wtyczkę.
Oryginalny opis (angielski, źródło NVD)
The Widget Logic Visual plugin for WordPress is vulnerable to Remote Code Execution in all versions up to, and including, 1.52 via the widget_logic_visual_check_visibility function. This is due to missing capability check and nonce verification on the widget-logic-update-conditional-tags AJAX action combined with insufficient sanitization of the 'nwlv[cod-tag]' parameter before storage and subsequent use in an eval() call. This makes it possible for authenticated attackers, with subscriber-level access and above, to execute code on the server.