CVE-2026-120070

Interfejs użytkownika — członkostwo, rejestracja użytkownika, profil użytkownika, katalog użytkowników i ograniczenia zawartości z wtyczką Frontend Post Submission dla WordPress jest podatny na eskalację uprawnień we wszystkich wersjach aż do 4.3.13 włącznie poprzez parametr `post_content` funkcji `submit_post()`. Luka istnieje, ponieważ strażnik listy blokowanych chronionych krótkich kodów sprawdza kopię `sanitize_textarea_field()` przesłanej `post_content`, podczas gdy kopia faktycznie utrwalona w bazie danych jest przetwarzana przez `wp_kses()`, którego krok `wp_kses_no_null()` usuwa bajty kontrolne C0 — umożliwiając atakującemu wstrzyknięcie pojedynczego bajtu `\x01` do nazwa znacznika `[wpuf-registration]`, aby obejść kontrolę listy bloków `strpos()`, podczas gdy czysty, funkcjonalny krótki kod jest przechowywany dosłownie; `strip_shortcodes()` również nie neutralizuje zapisanego krótkiego kodu, ponieważ kontener frontonu, który rejestruje go za pomocą `add_shortcode()`, jest tworzony tylko wtedy, gdy `is_admin()` ma wartość false, a żądania `admin-ajax` mają `is_admin() === true`. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie subskrybenta i wyższym, wstrzyknięcie krótkiego kodu `[wpuf-registration role="editor"]` do opublikowanego posta, powodując publiczne wyświetlenie na żywo formularza rejestracji roli redaktora w interfejsie użytkownika, który każdy odwiedzający — lub sam atakujący — może przesłać do utworzenia konta edytora WordPress z natychmiast aktywną uprzywilejowaną sesją, gdy włączone jest domyślne ustawienie „autologin_after_registration”.